把指南转化为安全试用流程
使用真实资料前，请先在GraphQL 变量验证器中用合成数据试做《API 交付安全：缓存、CORS、OAuth 与下载》的步骤。勾选状态只保留在当前标签页。
先写明决策问题
可靠工作先明确决策和所需证据，而不是先寻找按钮。本指南的目标是：验证报告端点变量、防止敏感响应被缓存、生成安全文件名，并只允许批准的来源和完全匹配的 OAuth 重定向 URI。 在准备输入时就定义验收标准、负责人和停止条件，避免“看起来不错”的输出掩盖方法缺陷。
从 GraphQL 变量到下载响应头，以可解释的发布前检查验证客户端与服务器契约。
- GraphQL 变量与声明的名称和类型一致。
准备数据与方法
只使用合成数据或重用权明确的材料。保留不变的原始副本，并在数据字典中记录字段、单位、语言、日期和缺失值规则。文本检查不会发送 HTTP 请求，也不会验证 DNS、TLS 或身份；生产行为必须通过集成测试、浏览器测试和服务器日志核验。
验证报告端点变量、防止敏感响应被缓存、生成安全文件名，并只允许批准的来源和完全匹配的 OAuth 重定向 URI。
- 敏感响应不进入共享缓存。
逐步执行工作流
把工作拆分为小而可撤销的步骤。每个工具运行前写明预期输入，运行后写明所需输出结构和失败处理。先用单个示例测试 graphql-degisken-dogrulayici、http-cache-control-olusturucu、content-disposition-olusturucu、cors-politikasi-denetleyici、oauth-yonlendirme-uri-denetleyici，再测试边界情况和小批量数据。
验证报告端点变量、防止敏感响应被缓存、生成安全文件名，并只允许批准的来源和完全匹配的 OAuth 重定向 URI。
- 文件名拒绝 CR/LF 与路径分隔符。
反向检验结果
验证不等于“成功生成输出”。需要核对源数据与输出的行数、总计、缺失值、重复项和变更字段，并测试空值、格式错误、超长内容、异常 Unicode 和刻意冲突的输入。
验证报告端点变量、防止敏感响应被缓存、生成安全文件名，并只允许批准的来源和完全匹配的 OAuth 重定向 URI。
- 携带凭据的 CORS 不使用通配来源。
记录、边界与下次复核
最终记录应包含日期、工具版本、输入结构、假设、已知边界、接受的例外和人工批准。涉及法律、安全、医疗或财务影响时，应由合格人员结合最新一手来源独立复核。
文本检查不会发送 HTTP 请求，也不会验证 DNS、TLS 或身份；生产行为必须通过集成测试、浏览器测试和服务器日志核验。
- OAuth 重定向地址完全匹配。
把指南转化为可重复的检查流程
请使用这套包含 5 个工具的检查计划来落实《API 交付安全：缓存、CORS、OAuth 与下载》。目标：从 GraphQL 变量到下载响应头，以可解释的发布前检查验证客户端与服务器契约。 包含执行步骤、失败路径、核验标准和清晰的信任边界。 请先用安全示例代替真实数据，并记录每一步的预期结果与验收决定。
GraphQL 变量验证器
- 准备
- 加载安全示例或输入自己的数据。
- 执行
- 运行本地处理并检查警告与指标。
- 验收检查
- 在目标环境和边界案例中验证结果。
- 预期输出
- GraphQL 变量验证器完成后会提供解析后的结构、字段指标和明确的语法问题，并围绕“对比查询变量定义与 JSON 值，查找缺失、多余及基本类型错误”组织结果。. 对比查询变量定义与 JSON 值，查找缺失、多余及基本类型错误。
HTTP Cache-Control 生成器
- 准备
- 加载安全示例或输入自己的数据。
- 执行
- 运行本地处理并检查警告与指标。
- 验收检查
- 在目标环境和边界案例中验证结果。
- 预期输出
- HTTP Cache-Control 生成器完成后会提供规范化的 Web 配置、组件清单和可执行的复核提示，并围绕“根据缓存受众、时长与重新验证决策生成一致的响应头”组织结果。. 根据缓存受众、时长与重新验证决策生成一致的响应头。
Content-Disposition 生成器
- 准备
- 加载安全示例或输入自己的数据。
- 执行
- 运行本地处理并检查警告与指标。
- 验收检查
- 在目标环境和边界案例中验证结果。
- 预期输出
- Content-Disposition 生成器完成后会提供可编辑草稿、字段摘要和明确的下一步操作，并围绕“为 Unicode 文件名生成带安全 ASCII 回退的 inline 或 attachment 响应头”组织结果。. 为 Unicode 文件名生成带安全 ASCII 回退的 inline 或 attachment 响应头。
CORS 策略审计器
- 准备
- 加载安全示例或输入自己的数据。
- 执行
- 运行本地处理并检查警告与指标。
- 验收检查
- 在目标环境和边界案例中验证结果。
- 预期输出
- CORS 策略审计器完成后会提供证据位置、严重程度、误报可能性和下一步核验操作，并围绕“查找 CORS 响应头中的通配符、凭据、方法与 Vary 冲突”组织结果。. 查找 CORS 响应头中的通配符、凭据、方法与 Vary 冲突。
OAuth 重定向 URI 审计器
- 准备
- 加载安全示例或输入自己的数据。
- 执行
- 运行本地处理并检查警告与指标。
- 验收检查
- 在目标环境和边界案例中验证结果。
- 预期输出
- OAuth 重定向 URI 审计器完成后会提供规范化的 Web 配置、组件清单和可执行的复核提示，并围绕“检查重定向 URI 的 HTTPS、通配符、片段、用户信息与 localhost 边界”组织结果。. 检查重定向 URI 的 HTTPS、通配符、片段、用户信息与 localhost 边界。
GraphQL 变量验证器适用以下边界：GraphQL 变量验证器的使用边界：请在目标系统核验架构、编码和数据丢失假设。 如果未满足该条件，请勿把输出传递到工作流的下一步。
落实《API 交付安全：缓存、CORS、OAuth 与下载》时，请记录工具名称、所选设置、浏览器版本，以及“发布前质量检查”的接受或拒绝理由，而不是敏感内容。这样既能重复检查，也不会复制真实数据。