軟件開發(fā)編碼規(guī)范方案(文件)
【正文】 nized void writeObject(ObjectOutputStream stream) {...(internalArray)。u 字節(jié)流加密另一種保護(hù)位于虛擬機(jī)之外的字節(jié)流的方式是對序列化產(chǎn)生的流進(jìn)行加密。牢記對象反序列化是創(chuàng)建對象的另一途徑。不要指望Java平臺的自動垃圾回收來做這種清除，因?yàn)榛厥掌骺赡懿粫宄@段內(nèi)存，或者很久后才會回收。嚴(yán)格禁止將參數(shù)和SQL語句做拼接。5) 數(shù)據(jù)庫關(guān)閉的原則是：誰創(chuàng)建的資源，誰負(fù)責(zé)關(guān)閉。9) 編寫可以移植的SQL語句，原則如下：l 不得使用某個(gè)數(shù)據(jù)庫專用的關(guān)鍵字、函數(shù)等；l 當(dāng)必須要使用某個(gè)數(shù)據(jù)庫特定的特性時(shí)，需在程序運(yùn)行時(shí)，先判斷當(dāng)前數(shù)據(jù)庫的類型，然后再根據(jù)數(shù)據(jù)的不同使用其特性；l 可以使用各種數(shù)據(jù)庫都支持的函數(shù)包括MIN、MAX、AVG、COUNT；l 盡量使用簡單的SQL語句，當(dāng)因?yàn)樘厥馇闆r需要使用非常見SQL語句時(shí)，應(yīng)該在多種數(shù)據(jù)庫下測試。4. WEB安全1) 獨(dú)立、完整且集中的輸入驗(yàn)證2) 校驗(yàn)全部的程序輸入3) 校驗(yàn)全部的輸入長度4) 校驗(yàn)全部的輸入類型5) 不使用任何方式處理失敗的數(shù)據(jù)6) 對HTTP所有內(nèi)容進(jìn)行校驗(yàn)7) 校驗(yàn)向用戶輸出的數(shù)據(jù) 8) 只相信服務(wù)器端校驗(yàn)，客戶端校驗(yàn)只能作為補(bǔ)充9) 使用安全、統(tǒng)一的編碼或轉(zhuǎn)義方式 10) 設(shè)定有安全的權(quán)限邊界11) 校驗(yàn)被調(diào)用的后臺命令12) 校驗(yàn)被調(diào)用的文本或配置文件13) 在HTML中，一些特殊字符在頁面上顯示時(shí)必須轉(zhuǎn)義。使用 HTTP POST 方法來保證 Request 參數(shù)的安全。要確定錯(cuò)誤提示信息不會泄露系統(tǒng)信息和出錯(cuò)原因等敏感信息。5. 日志安全1) 對每個(gè)重要的行為都記錄日志。安全地保存日志文件，主要方法是將日志文件獨(dú)立保存于應(yīng)用程序目錄外，同時(shí)通過嚴(yán)格的權(quán)限設(shè)置來控制對日志文件的訪問。2) 。閱讀過后，希望您提出保貴的意見或建議。在上述事件的日志定義行為中，要注意失敗事件的關(guān)注程度至少要與成功事件一樣，因?yàn)檫@些失敗事件經(jīng)常會發(fā)生在安全事件之前。19) 使用較強(qiáng)的會話標(biāo)識符，如使用包含至少 128 位安全隨機(jī)數(shù)密碼的會話標(biāo)示符。對所有的異常構(gòu)造統(tǒng)一的錯(cuò)誤頁面，包括 HTTP錯(cuò)誤和未經(jīng)處理的異常。15) 用戶界面應(yīng)該包含公司或者產(chǎn)品標(biāo)識。11) 不得將數(shù)據(jù)庫的用戶名和密碼以明文形式存儲在配置文件中。7) 數(shù)據(jù)庫表名、字段名必須大寫。3) 當(dāng)使用JDBC操作數(shù)據(jù)庫時(shí)，涉及到的資源包括ResultSet、Statement、Connection都必須及時(shí)關(guān)閉。3. 數(shù)據(jù)庫安全1) 開發(fā)人員應(yīng)盡量使用PreparedStatement，并且使用占位符？來表示參數(shù)。如果該frame被應(yīng)用程序序列化并被applet反序列化，務(wù)
公司管理相關(guān)推薦
鄂ICP備17016276號-1