開發(fā)代碼安全規(guī)范-防sql注入和xss跨站攻擊代碼編寫規(guī)范-資料下載頁
2025-07-24 16:17本頁面
【正文】 b應(yīng)用程序的驗證過程l 非法越權(quán)操作數(shù)據(jù)庫內(nèi)容l 隨意篡改網(wǎng)頁內(nèi)容l 添加系統(tǒng)帳戶或數(shù)據(jù)庫帳戶l 上傳和下載非法文件l 本地溢出并獲取系統(tǒng)最高權(quán)限l 安裝木馬后門/僵尸網(wǎng)絡(luò) 防止XSS跨站腳本攻擊的代碼安全規(guī)范總結(jié)：要假定所有輸入都是可疑的，必須對所有輸入中的script、iframe等字樣進行嚴格的檢查。這里的輸入不僅僅是用戶可以直接交互的輸入接口，也包括HTTP請求中的Cookie中的變量，HTTP請求頭部中的變量等。不僅要驗證數(shù)據(jù)的類型，還要驗證其格式、長度、范圍和內(nèi)容。不要僅僅在客戶端做數(shù)據(jù)的驗證與過濾，關(guān)鍵的過濾步驟在服務(wù)端進行。對輸出的數(shù)據(jù)也要檢查，數(shù)據(jù)庫里的值有可能會在一個大網(wǎng)站的多處都有輸出，即使在輸入做了編碼等操作，在各處的輸出點時也要進行安全檢查。在發(fā)布應(yīng)用程序之前測試所有已知的威脅。XSS跨站腳本種類，方式變換繁多，并不能做全數(shù)說明，所提內(nèi)容均為基礎(chǔ)說明，以提醒警示為主。三、安全操作實踐代碼漏洞無處不在，本規(guī)范無法窮盡開發(fā)安全規(guī)范操作的各個方面，旨在督促編程人員高度重視。開發(fā)實踐中，網(wǎng)絡(luò)和應(yīng)用安全設(shè)備（例如：WAF、IPS等）會將存在嚴重代碼漏洞的語句或腳本進行攔截，開發(fā)人員從基礎(chǔ)架構(gòu)的設(shè)備管理員得到安全設(shè)備的攔截處理日志，據(jù)此修改為合規(guī)的代碼，正常業(yè)務(wù)才會得以執(zhí)行。安全建設(shè)需要大家相互配合共同努力，不斷完善代碼，修復(fù)漏洞。第 11 頁 共 11 頁 集團IT部 版本： 創(chuàng)建日期：20151201
畢業(yè)設(shè)計相關(guān)推薦
鄂ICP備17016276號-1