概念allowlist / 白名单
允许列表
访问控制模型，默认拒绝所有请求，仅放行预先审核并加入列表的服务或资源，安全性依赖于审核过程
时间轴 (近 90 天)
10月18日
允许列表应写成精确主机名而非通配符后缀，因为 *.example.net 这类后缀匹配会将预发布子域一并放进来。
待验证50%
10月18日
允许列表（默认拒绝、逐个放行）比阻止列表（默认允许、逐个禁止）更适合AI Agent，因为Agent会自主发现和调用新服务，阻止列表在开放环境中必然滞后。
待验证50%
10月13日
Magic bytes 嗅探必须与显式允许列表配合使用：匹配失败即拒绝，而非猜测。
待验证50%
10月13日
修复方案为：嗅探 magic bytes，与显式允许列表匹配，对一切其他内容（包括 .exe、.dmg、.zip，以及前 512 字节包含空字节的任何文件）返回 415 Unsupported Media Type。
待验证50%
全部知识事实 (4)
待验证
允许列表应写成精确主机名而非通配符后缀，因为 *.example.net 这类后缀匹配会将预发布子域一并放进来。
50%待验证允许列表（默认拒绝、逐个放行）比阻止列表（默认允许、逐个禁止）更适合AI Agent，因为Agent会自主发现和调用新服务，阻止列表在开放环境中必然滞后。
50%待验证Magic bytes 嗅探必须与显式允许列表配合使用：匹配失败即拒绝，而非猜测。
50%待验证修复方案为：嗅探 magic bytes，与显式允许列表匹配，对一切其他内容（包括 .exe、.dmg、.zip，以及前 512 字节包含空字节的任何文件）返回 415 Unsupported Media Type。
50%