默认拒绝所有命令执行、仅允许白名单中的少数命令前缀，是缩小爆炸半径的有效策略。