一个反斜杠击穿主机白名单：fast-uri 双 CVE 的成因、复现与补丁审计

fast-uri 将反斜杠视为普通字符，而 Node 原生 URL 将其当作路径分隔符，同一 URL 在检测端解析出主机 allowed.com、请求时却连到 127.0.0.1，CVE-2026-16221 与 CVE-2026-18446 均源于这一解析分歧。