待验证50% 置信权衡取舍精确时间

允许列表相比拒绝列表安全性更强，因为攻击者无法通过注册新域名或使用重定向来绕过防护

1

来源数

50%

置信度

长期有效

时效性

2026/10/8

首次发现

来源

MCP协议漏洞曝光：谷歌、摩根大通等五家机构已修复

涉及实体

allow listconcept

相关事实

待验证不修改客户端只是安全的必要条件而非充分条件，登录凭证经手第三方会扩大攻击面70% 相似待验证一个负责回复邮件的Agent不应拥有删除数据库的权限，通过限制工具访问范围可将出错破坏压缩到最小66% 相似待验证对于确实可信的内网地址，可以在配置中将其加入暴力破解防护的白名单以避免误判65% 相似待验证防御 DNS Rebinding 最可靠的手段是在服务端严格校验 Host 请求头，拒绝任何不在白名单内的主机名64% 相似

引用此条事实

Stable URI

https://kongchang.com/claim/988950

API

curl https://kongchang.com/api/v1/knowledge/claims/988950

MCP

get_claim(id=988950)