Тег: security

Используйте cookie-аутентификацию для любого приложения, где единственным клиентом является браузер, а bearer-токены JWT приберегите для API, которые вызывают мобильные приложения, другие сервисы или сторонние клиенты. Вот полная матрица для принятия решения.

Новая настройка sandbox.credentials в Claude Code v2.1.187 запрещает чтение файлов с учетными данными и сбрасывает секретные переменные окружения перед запуском команд Bash в песочнице. Почему стандартная политика чтения была дырой и как ее закрыть.

Защищённая конечная точка, возвращающая 405 вместо 401, почти всегда означает, что маршрутизация отклонила HTTP-метод до запуска аутентификации, либо схема cookie перехватила вызов проверки. Вот как определить, что именно.

Действительный токен, который всё равно даёт 401, почти всегда означает, что обработчик bearer не запускался или запустился под не той схемой. Проверьте порядок middleware, схему по умолчанию, имя схемы и дошёл ли вообще заголовок до обработчика.

Полное руководство по TokenValidationParameters в ASP.NET Core 11: как работают ValidateIssuer, ValidateAudience и ValidateLifetime, какие на самом деле значения по умолчанию, почему Authority автоматически настраивает издателя и ключи подписи, ловушка ClockSkew в 5 минут и как читать коды ошибок IDX, когда отклоняется на вид валидный токен.

Полное руководство по CORS для API с токеном bearer в ASP.NET Core 11: правильный порядок UseCors относительно аутентификации, почему токен bearer в заголовке Authorization не является учётными данными CORS, почему AllowAnyHeader работает, а ручной шаблон не покрывает Authorization, и как не дать предварительному запросу завершиться сбоем.

.NET 11 Preview 5 добавляет полноценный тип X25519DiffieHellman в System.Security.Cryptography, чтобы выполнять обмен ключами Curve25519 без BouncyCastle или NSec.

Anthropic выпустила бесплатный плагин security-guidance для Claude Code, который сканирует собственные правки агента на уязвимости в три слоя: от бесплатного сопоставления с образцом до агентной проверки при коммите.

Очистка пакетов NuGet поставляется включённой по умолчанию для проектов net10.0, сокращая отчёты о транзитивных уязвимостях на 70% и время restore до 50%.

Новый пакет Microsoft.AgentGovernance от Microsoft оборачивает вызовы MCP-инструментов ядром политик, сканером безопасности и санитайзером ответов. Вот что делает каждая часть и как это подключается на C#.