上线前安全自检：按 OWASP Top 10 逐项检查代码与配置。
01/ 01
请以安全工程师视角审查这个 {{Web 应用/接口}}：{{代码或架构描述}}。 按 OWASP Top 10 逐项检查并给出具体风险位置与修复代码： 1. 注入：SQL 拼接、命令注入、模板注入、SSRF（用户可控 URL）； 2. 鉴权与越权：水平/垂直越权、IDOR、JWT 校验、会话配置； 3. XSS/CSRF：输出编码、CSP、SameSite、富文本白名单； 4. 敏感数据：密码哈希算法（bcrypt/argon2）、密钥管理、日志脱敏、传输加密； 5. 访问控制：限流、文件上传校验（类型/大小/存储隔离）、反序列化白名单； 6. 依赖与配置：已知漏洞组件、调试接口、默认口令、CORS 过宽；