perfex-security

每当 Perfex CRM 任务涉及安全敏感代码时，请使用此规则——包括发放或消费一次性令牌（如密码重置、魔法链接、确认链接）、使用 `affected_rows()` 检查实现竞态安全的原子性 UPDATE 操作、处理用户可控的重定向 URL（如 `?next=`、`?redirect=`、`?return_to=`）、对泄露布尔状态的 AJAX 端点实施速率限制、跨模块加载模型、记录个人身份信息（PII）、添加 `target="_blank"` 链接，或排除某个 webhook 的 CSRF 防护。当用户提到“我的魔法链接能用两次”、“密码重置存在竞态条件”、“有人能通过邮箱枚举用户”、“我的模块存在开放重定向”、“CSRF 阻止了我的 webhook”、“请对这个端点做速率限制”，或提及“TOCTOU”、“枚举”、“html_purify”或 `app_generate_hash()` 时，也应触发此规则。此处每一条规则的存在，都是因为其缺失曾导致 Perfex 生产环境发生真实事故。

存档时间线

版本索引永久保留；内容副本只保留最新 1 份，更早版本仅留索引与哈希（存档时间线的证据链不会因此断裂）。

下载存档内容副本

相关资产