性能优先
纯静态资源，无运行时后端。首屏即服务端缓存友好，无数据库、无会话状态、无 RCE 面。
01 // ABOUT
技术工坊，不是模板站
安全默认
CSP、HSTS、Referrer-Policy、Permissions-Policy 等响应头全开。禁止 iframe 嵌入，阻断混合内容。
可观测
架构透明、依赖可控。你看到的每一层防护都写在配置里，可审计、可复现。
02 // STACK
技术栈与交付原则
EDGE
Caddy
TLS 1.2+
HTTP/2
Auto HTTPS
FRONT
Semantic HTML
Modern CSS
Vanilla JS
No tracking
OPS
UFW
Fail2ban
SSH keys only
Least privilege
CODE
Python
Node.js
Linux
Git
03 // CAPABILITIES
我们能交付什么
基础设施加固
防火墙策略、SSH 硬化、服务最小化、自动安全更新与入侵检测基线。
- 端口收敛与访问控制
- 密钥认证 / 禁密码登录
- 日志与异常基线
安全 Web 交付
静态优先架构、安全响应头、证书自动化、内容安全策略（CSP）落地。
- 零信任边缘配置
- 防点击劫持 / MIME sniff
- 依赖最小化
自动化与脚本
运维脚本、部署流水线、健康检查与可重复的环境配置。
- 幂等部署脚本
- 监控与告警钩子
- 文档与 runbook
系统与后端
Linux 服务、API 设计、Python/Node 工程化，以及可维护的模块化架构。
- 清晰边界与错误处理
- 可测试的核心逻辑
- 安全编码实践
04 // SECURITY MODEL
本站安全设计
不是口号，是可验证的配置。下面每项都已在边缘层启用。
ACTIVE
Content-Security-Policy
限制脚本来源，默认拒绝内联与未知域，降低 XSS 危害面。
ACTIVE
Strict-Transport-Security
强制 HTTPS，含 preload 友好策略，阻断协议降级攻击。
ACTIVE
X-Frame-Options / COOP
禁止被嵌套，配合 frame-ancestors 与跨域隔离策略。
ACTIVE
Permissions-Policy
关闭摄像头、麦克风、地理定位等无关浏览器能力。
ACTIVE
Referrer-Policy
strict-origin-when-cross-origin，减少外链信息泄漏。
ACTIVE
Static-only surface
无应用服务器、无数据库、无用户输入处理 — 攻击面接近为零。
$ curl -sI https://this.host | grep -iE 'strict|content-security|x-frame|referrer|permissions'
点击按钮，从浏览器探测当前页面的安全相关响应头…