| Query Language 注入 | 拼接 SQL/HQL/NoSQL 查询语句；使用用户输入构造查询条件 | references/prevent-ql-injection.md |
| OS 命令注入 | 调用 child_process.exec、execSync、spawn 等执行系统命令时，命令字符串或参数包含用户输入 | references/prevent-os-command-execution.md |
| 代码注入 | 使用 eval、new Function、setTimeout(string) 执行非字面量字符串；使用非字面量路径动态 require()；可能导致 RCE 或任意文件读取 | references/prevent-code-injection.md |
| 原型链污染 | 对对象进行递归合并、深拷贝、属性赋值时，键名来自用户输入（如 __proto__、constructor、prototype） | references/prevent-prototype-pollution.md |
| XSS（跨站脚本） | 将用户输入直接插入 DOM（innerHTML、document.write、dangerouslySetInnerHTML）；在服务端渲染时未转义输出到 HTML 模板 | references/prevent-xss.md |
| 路径遍历 | 文件读取/写入/下载，路径由用户输入拼接（如 path.join(baseDir, userInput)），可能跨越根目录访问任意文件 | references/prevent-path-traversal.md |
| SSRF（服务端请求伪造） | 服务端发起 HTTP 请求时，目标 URL 或主机名由用户输入控制，可能访问内网服务或云元数据接口 | references/prevent-ssrf.md |
| 不安全反序列化 | 使用 node-serialize、serialize-javascript 等库反序列化用户提供的数据，可能导致任意代码执行 | references/prevent-deserialization.md |
| 弱随机数 | 使用 Math.random() 或 crypto.pseudoRandomBytes() 生成 session ID、token、nonce、密钥等安全敏感值 | references/prevent-weak-random.md |
| PostMessage Origin 校验缺失 | 使用 window.addEventListener('message', ...) 接收跨窗口消息时未校验 event.origin；发送消息时使用通配符 '*' | references/prevent-postmessage-origin.md |
| 时序攻击 | 使用 ===、!== 比较 HMAC 签名、API Key、session token、密码重置 token 等安全敏感字符串 | references/prevent-timing-attack.md |
| ReDoS（正则表达式拒绝服务） | 使用 new RegExp(userInput) 构造动态正则；正则模式包含嵌套量词（(a+)+）或重叠交替（(a|aa)+），可导致灾难性回溯阻塞事件循环 | references/prevent-redos.md |
| Buffer 安全问题 | 使用已废弃的 new Buffer(size)（内存未初始化）；Buffer.allocUnsafe() 结果未立即填充；Buffer 读写方法传入 noAssert=true 跳过边界检查 | references/prevent-buffer-issues.md |
| 不安全传输 | 通过 HTTP（非 HTTPS）加载外部脚本/样式；服务端使用 http 模块请求外部 API；动态 URL 未校验协议 | references/prevent-insecure-transport.md |
| 硬编码凭证 | API Key、密码、JWT 密钥、私钥等敏感信息直接写入源代码或被 Git 追踪的配置文件 | references/prevent-hardcoded-secrets.md |
