【正文】 配置文件 若程序需要調(diào)用后臺(tái)文本或配置文件，則在調(diào)用前，應(yīng)相對(duì)文件或配置文件的完整性和有效性進(jìn)行檢查，以確保讀入的文本或配置文件是正確可用的。 使用安全的SQL查詢方式 在進(jìn)行SQL查詢時(shí)，必須使用安全的查詢方式，如：Prepared Statement，以避免查詢語(yǔ)句中由用戶惡意插入SQL語(yǔ)句所帶來(lái)的風(fēng)險(xiǎn)。對(duì)傳遞的數(shù)據(jù)考慮進(jìn)一步校驗(yàn),軟件安全開(kāi)發(fā)生命周期,簡(jiǎn)介 安全需求分析 安全設(shè)計(jì) 安全編程 安全測(cè)試 安全部署及安全響應(yīng),軟件安全開(kāi)發(fā)生命周期,安全編程 獨(dú)立、完整且集中的輸入驗(yàn)證 創(chuàng)建并使用了獨(dú)立的用戶輸入驗(yàn)證模塊以完成對(duì)所有用戶的輸入校驗(yàn)，以此可帶來(lái)： 統(tǒng)一的輸入檢測(cè)策略 統(tǒng)一的驗(yàn)證邏輯 統(tǒng)一的錯(cuò)誤驗(yàn)證處理 降低升級(jí)和維護(hù)成本,軟件安全開(kāi)發(fā)生命周期,校驗(yàn)全部的程序輸入 保證所有變量在使用之前都經(jīng)過(guò)嚴(yán)格的校驗(yàn)，防止被污染的數(shù)據(jù)進(jìn)入程序。據(jù)美國(guó)國(guó)家標(biāo)準(zhǔn)局（NIST）早年發(fā)表的一份調(diào)查報(bào)告估計(jì)，更好的安全控制措施將為后期安全整改的總體成本節(jié)省三分之一以上的費(fèi)用，且有效規(guī)避70%以上由于軟件安全隱患所引發(fā)的安全事件。 典型的軟件開(kāi)發(fā)流程中，如瀑布模型，中心圍繞著產(chǎn)品功能，完全沒(méi)有安全方面的考慮。軟件安全開(kāi)發(fā)生命周期,杭州安恒信息技術(shù)有限公司,軟件安全開(kāi)發(fā)生命周期（SDL） 基于WEB應(yīng)用程序的SDL,目錄,簡(jiǎn)介 安全需求分析 安全設(shè)計(jì) 安全編程 安全測(cè)試 安全部署及安全響應(yīng),軟件安全開(kāi)發(fā)生命周期,簡(jiǎn)介 安全開(kāi)發(fā)周期，即Security Development Lifecycle (SDL)，是微軟提出的從安全角度指導(dǎo)軟件開(kāi)發(fā)過(guò)程的管理模式。這樣的開(kāi)發(fā)流程可以造就功能上相對(duì)完善的軟件，但是無(wú)法滿足在安全上的需要。,軟件安全開(kāi)發(fā)生命周期,軟件安全開(kāi)發(fā)生命周期,簡(jiǎn)介 安全需求分析 安全設(shè)計(jì) 安全編程 安全測(cè)試 安全部署及安全響應(yīng),軟件安全開(kāi)發(fā)生命周期,安全需求分析——設(shè)定安全目標(biāo) 在需求分析階段，加入以下的安全考慮 產(chǎn)品提供的安全功能 產(chǎn)品如何安全的與用戶（或其它軟件模塊）交互 特別的，安全方面的考慮對(duì)產(chǎn)品開(kāi)發(fā)計(jì)劃的影響 產(chǎn)品的風(fēng)險(xiǎn)評(píng)估和威脅模型（threat modeling） 產(chǎn)品的缺省功能配置,軟件安全開(kāi)發(fā)生命周期,簡(jiǎn)介 安全需求分析 安全設(shè)計(jì) 安全編程 安全測(cè)試 安全部署及安全響應(yīng),軟件安全開(kāi)發(fā)生命周期,安全設(shè)計(jì) 在安全設(shè)計(jì)階段，特別加入以下兩方面的考慮 減少攻擊界面。 校驗(yàn)全部的輸入長(zhǎng)度 通過(guò)限制輸入長(zhǎng)度，可以有效的控制一些攻擊使其不給系統(tǒng)帶來(lái)過(guò)大的威脅： SQL Inject XSS File Include ………,軟件安全開(kāi)發(fā)生命周期,校驗(yàn)全部的輸入類型 不同的程序所接收到的參數(shù)類型應(yīng)嚴(yán)格區(qū)分并校驗(yàn)，對(duì)于非法的類型應(yīng)有相關(guān)異常進(jìn)行處理以防止其進(jìn)入程序。 禁止使用JavaScript進(jìn)行任何校驗(yàn) 由于JavaScript為客戶端腳本，因此任何試圖使用JavaScript對(duì)用戶數(shù)據(jù)進(jìn)行校驗(yàn)的行為都可能被用戶構(gòu)造的本地腳本所繞過(guò)，因此，所有校驗(yàn)工作應(yīng)由服務(wù)端程序完成而不是客戶端。 確保程序所記錄的日志可控 若程序需要記錄額外的操作日志等信息，應(yīng)保證這些日志中的某些或全部?jī)?nèi)容不來(lái)自用戶輸入，否則用戶可能通過(guò)外部惡意提交信息的方式填充日志。因此，需要事先制訂對(duì)應(yīng)的相應(yīng)模式，包括： （內(nèi)部或外部發(fā)現(xiàn)的）安全漏洞以何種途徑匯報(bào) 如何評(píng)估安全漏洞的嚴(yán)重級(jí)別 開(kāi)發(fā)安全補(bǔ)丁的流程 測(cè)試安全補(bǔ)丁的流程 發(fā)布安全補(bǔ)丁的流程 如何在以后開(kāi)發(fā)中避免類似的安全漏洞，等等,軟件安全開(kāi)發(fā)生命周期,軟件安全開(kāi)發(fā)生命周期（SDL） 基于WEB應(yīng)用程序的SDL,目錄,概述 在公開(kāi)提供的 SDL 文檔中，找不到專門針對(duì)如何保護(hù) Web 應(yīng)用程序或在線服務(wù)的指南。而對(duì) SOAP 服務(wù)和對(duì) Windows 服務(wù)執(zhí)行最終安全審查也同樣重要。 代碼下載地址：http://code.google.com/p/owaspesapijava/ 下圖顯示了提供的API與OWASP列出的10個(gè)安全問(wèn)題的涵蓋關(guān)系：,What is an Enterprise Security API? The ESAPI Family Community Breakdown,OWASP,What is an Enterprise Security API? Addressing The OWASP Top Ten,OWASP Top Ten,OWASP ESAPI,A1: Injection,A2: Cross Site Scripting (XSS),A3: Broken Authentication and Session Management,A4: Insecure Direct Object Reference,A5: Cross Site Request Forgery (CSRF),A6: Security Misconfiguration,A7: Insecure Cryptographic Storage,A8: Failure to Restrict URL Access,A9: Insufficient Transport Layer Protection,A10: Unvalidated Redirects and Forwards,Encoder,Encoder, Validator,Authenticator, User, HTTPUtilities,AccessReferenceMap, AccessController,User (CSRF Token),SecurityConfiguration,Encryptor,AccessController,HTTPUtilities,AccessController,OWASP,What is an Enterprise Security API? OWASP ESAPI Project Scorecard,2.0,2.0,下圖顯示結(jié)合ESAPI設(shè)計(jì)你的程序,下圖簡(jiǎn)單呈現(xiàn)ESAPI如何運(yùn)作,跨站腳本（XSS）,定義 跨站腳本是最普遍的web應(yīng)用安全漏洞。 反射式跨站腳本通過(guò)測(cè)試或代碼分析很容易找到。 并非所有 的案件都如此簡(jiǎn)單，但很多是相似的。 boolean isValidFirstName = ESAPI.validator().isValidInput(“FirstName“, myForm.getFirstName(), “FirstNameRegex“, 255, false)。 沒(méi)有正確轉(zhuǎn)義的數(shù)據(jù)它仍然會(huì)在瀏覽器中正確解析。 //check the errorList here . . //performing output encoding for the HTML context String safeOutput = ESAPI.encoder().encodeForHTML( cleanComment )。 危害 注入能導(dǎo)致數(shù)據(jù)丟失或數(shù)據(jù)破壞、缺乏可審計(jì)性或是拒絕服務(wù)。“ + form.getFullName() + “39。 正常：username=tony，password=123456 SELECT * FROM users WHERE username = tony39。 OR 39。 AND password = 39。 = 39。 // This should REALLY be validated too // perform input validation to detect attacks String query = “SELECT account_balance FROM user_data WHERE user_name = ? “。 使用存儲(chǔ)過(guò)程,String custname = request.getParameter