JavaScript WebCrypto + ASP.NET Core 實作 ECDSA Signature 驗證
本文分享一個簡單的 Demo，演示如何利用瀏覽器的 WebCrypto API 產生 ECDSA 金鑰對，將公鑰傳至 Server，並由 Client 使用私鑰對資料簽名，Server 則用公鑰驗證，以證明 Client 持有對應的私鑰，進而強化設備身份驗證。
部落格
API Security
涵蓋軟體工程、AI 實作、系統設計、開發工具、效能優化與技術判斷的文章。
預設金鑰成安全破口：LiteLLM AI 閘道器曝險與雲端權限外洩風險分析
該內容精確地揭露了 AI 基礎設施中『便捷性與安全性』衝突的典型案例。我評定此內容為高價值警示，因為它不僅指出單一漏洞，而是揭示了從配置錯誤到雲端權限崩潰的完整攻擊鏈；然而，其結論高度依賴於用戶對『最小權限原則』的執行力，若企業僅將其視為單純的軟體更新而忽略基礎設施隔離，風險依然存在。
Cloudflare 引入可選 OAuth 權限範圍：解決 AI 代理程式的權限過度請求困境
此方案是針對 AI Agent 動態性特質的一種務實補丁，將決定權從開發者移交至使用者，能有效降低使用者對『過度授權』的心理防線，評價為正面且必要。然而，其成效高度依賴開發者是否能正確實作『優雅降級』邏輯，若開發端僅將其視為 UI 更新而忽略權限檢查，將導致大量 403 錯誤，反而惡化使用者體驗。
City Forum 攻擊行動分析：利用 SaaS 平台訪客權限漏洞大規模抓取數據
此案例揭示了 SaaS 平台中典型的『設定失效』風險，攻擊者並非突破技術防禦，而是利用管理員的疏忽將門戶變為公開數據庫。我評定此攻擊手法為『低成本、高回報』的精準打擊，其價值在於對 API 結構的深層理解而非漏洞挖掘。然而，防禦端僅需執行基礎的權限審核即可阻斷，這反映出目前企業在 SaaS 治理上的嚴重脫節，直到監控機制普及前，此類配置風險將持續被利用。
從 PraisonAI 漏洞看 AI Agent 部署風險：CVE-2026-44338 認證繞過分析
此案例揭露了開發者在追求 AI Agent 快速部署時，對基礎安全工程的極度輕視，將認證開關硬編碼為 False 是低級且不可原諒的設計錯誤。雖然框架能提升開發效率，但這種『預設不安全』的設計使系統在公網環境下完全透明，評價為『高風險且缺乏基礎安全意識』。然而，其警示價值在於證明了 AI 專屬接口已成為自動化掃描工具的新目標，安全性必須前置於功能實現。