2026 年自托管服务的合理安全基线？

Source: Dev.to

高层设置

• Linux 主机
• Docker 化的服务
• 仅公开 80/443 端口
• 反向代理终止 TLS（强制 HTTPS）
• ASP.NET（.NET 10）内置 Identity + OAuth
• 仅使用 EF Core/ORM（不使用原始 SQL）
• 自动编码，不渲染用户 HTML
• 基本安全头（CSP、HSTS、nosniff、Referrer‑Policy、Permissions‑Policy）
• 启用主机防火墙（默认拒绝入站）
• 定期安全更新（操作系统 + 容器重建，自动升级）

问题

这并不是企业级的要求，只是对业余项目来说合理。有没有人在这个阶段（运维、维护或流程方面）常常忽视的常见盲点？