由 dawei 合规不是安全的终点，而是构建可信网站的起点。从项目立项起，需同步对照《网络安全法》《数据安全法》《个人信息保护法》及GB/T 22239-2019（等保2.0）要求，明确数据类型、处理场景与责任主体，形成合规映射清单。
域名与主机部署阶段，须选择具备ICP备案、等保测评资质的服务商；禁止使用未实名登记域名，所有对外服务端口需通过最小化开放原则审批，Web服务默认启用HTTPS并禁用SSLv3及TLS 1.0等弱协议。
AI渲染的图片,仅供参考
应用开发中强制落实输入白名单校验、参数化查询与输出编码，杜绝SQL注入、XSS与CSRF漏洞；用户身份认证采用双因子机制（如短信+动态令牌），密码存储须经PBKDF2或Argon2加密，且明文密码不得留存日志或数据库。
数据处理环节须区分数据级别：个人敏感信息（如身份证号、生物特征）实施字段级加密存储，匿名化处理需符合GB/T 35273—2020标准；数据接口调用必须签名校验与访问频次控制，并记录完整操作日志，留存不少于6个月。
安全配置须由独立团队按基线手册逐项核查：关闭调试模式、删除测试账户、禁用目录遍历、统一设置CSP头与X-Content-Type-Options头；CMS及第三方组件版本应锁定，严禁使用含已知高危CVE的库（如Log4j 2.14.1）。
上线前须完成渗透测试（含OWASP Top 10项）与合规审计，报告需覆盖漏洞修复证据及数据流向图；正式运行后执行每月脆弱性扫描、每季度人工复查，并建立7×24小时安全事件响应流程，发现数据泄露须在72小时内向监管部门提交报告。
持续运营中，将合规检查嵌入CI/CD流水线——代码提交触发SAST扫描，镜像构建集成DAST与许可证合规检测，发布包自动附加签名与哈希值。每一次架构变更都需重新评估影响范围，确保安全策略与法规演进保持同步。