首页/安全/漏洞与攻击面速查/报错信息泄露与统一错误处理
Web 漏洞原理与防护55 条

报错信息泄露与统一错误处理

生产环境返回堆栈、SQL 语句、框架版本、内网路径等信息,能直接帮助外部定位弱点;应统一异常处理与错误页,详细日志只写在服务端。

漏洞与攻击面速查安全更新于 2026-10-12

各环境配置要点

各环境配置要点
PHP:display_errors=Off,log_errors=On
Python/Flask:debug=False(生产),注册全局异常处理器
Java/Spring:server.error.include-stacktrace=never
Node/Express:错误中间件统一返回通用消息
Nginx:统一 502/500 错误页,不暴露上游细节

统一响应体建议

统一响应体建议
{"code": 500, "message": "服务暂时不可用,请稍后重试", "trace_id": "a1b2c3"}
(trace_id 用于服务端定位问题,不暴露内部细节)
对外统一、对内详细:错误详情写入日志与追踪系统(带 trace_id),排查效率不受影响。

易错点

  • 只在主页做了错误页,接口返回 JSON 时仍带堆栈:网关、应用与前端多处都要配置

数据来源与参考

  • OWASP Improper Error Handling 说明
  • Nginx 官方文档(proxy_intercept_errors)
​‌‌​​‌​​​‌‌​‌‌‌‌​‌‌​​​‌‌​‌‌‌​​‌‌​​‌​‌‌‌​​‌‌‌​​​‌​‌‌​‌​​‌​‌‌‌​​​‌​‌‌​‌​​‌​‌‌​​​‌‌​‌‌‌​‌​​​‌‌​‌‌‌‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌