HERMES_14DAY_SECURITY_POLICY_BRIDGE_20260508AI API 安全模板
拦截 /actuator/env、.env 与框架配置扫描，不影响真实用户
把访问日志里的 Spring actuator、Laravel .env、Docker/backup 配置探测转成可复制的 OpenResty/Nginx/Worker 加固规则。
适合谁
适合运行 OpenAI-compatible API、中转网关、静态下载商店、Cloudflare Worker/Pages 路由或小型开发者 SaaS 的站长。
为什么本页优先做
近期公开访问日志持续出现 /.env、/.git/config、/actuator/env、/api/auth/session 等探测路径；这些是最适合转化为防御模板和低价下载产品的真实需求信号。
合规边界
只做防御、日志脱敏、模板和检查清单；不提供攻击教程，不承诺收益，也不触碰用户钱包或 API key。
模板包重点
- deny dotfiles 与常见备份配置路径
- 对 /actuator/env、/.env、/.git/config 返回安全 404/403
- 保留 /api/products、/api/status 等真实业务路径
- 加固后用 GET/HEAD 和访问日志回归验证
推荐配套：AI API Gateway Security Hardening Kit、成本/可观测性模板、OpenAI & Claude 示例包。
FAQ
为什么这些扫描值得单独处理？
它们是公开站最常见的低成本撞库/探测路径，频繁出现时会污染日志，也提示站点需要默认拒绝敏感路径。
会改变收款逻辑吗？
不会；本页只导向防御模板包，不触碰钱包、订单或价格逻辑。