Web开发者安全速查表

叁歲伎倆 2022-04-13 09:11 183阅读 0赞

想要开发出一个安全的、健壮的Web应用其实是非常困难的，当你仔细核查了本文给出的安全小贴士之后，你可能会发现你在产品的开发阶段跳过了很多重要的安全步骤。下面的这份速查表非常简洁，而且绝对还有很多东西没有涉及到。

**数据库篇**

1、对类似访问令牌、电子邮箱地址或账单详情进行加密处理，尤其是用户的身份识别信息（密码）。

2、如果你的数据库支持低成本加密，请确保开启这项功能并保护主机磁盘中的数据。与此同时，确保所有的备份文件都进行了加密存储。

3、按照最小权限原则给数据库访问账号分配权限，不要使用数据库的root账号。

4、使用密钥存储器来保存或派发密钥，不要直接将密钥硬编码在你的应用之中。

5、通过使用SQL预处理语句来避免SQL注入攻击。比如说，如果你使用的是NPM，那么请不要使用npm-mysql，你应该用的是npm-mysql2，因为它支持SQL预处理语句。

**开发篇**  
1、确保你软件中所有组件的每一个版本都进行了漏洞扫描，包括接口、协议、代码以及数据包。

2、对产品中所有使用到的第三方工具时刻保持警惕性，选择一款安全系数较高的开发平台。

**身份验证篇**  
1、使用合适的加密算法（例如bcrypt）来计算并存储密码哈希，在初始加密时选择合适的随机数据，还有就是千万不要自己去写一个加密算法。

2、使用简单但健壮的密码规则，以鼓励用户设置长度足够安全的随机密码。

3、在服务的登录机制中引入多因素身份验证功能。

**DoS保护篇**  
1、确保那些针对API的DoS攻击不会严重影响你网站的正常运行，至少要限制API的请求访问速率。

2、对用户所提交的数据和请求进行结构和大小的限制。

3、使用类似CloudFlare这样的缓存代理服务来为你的Web应用添加DDoS缓解方案。

**Web流量篇**  
1、使用TLS，不只是你的登录表单和网站响应数据，而是你的整个网站都应该使用TLS。

2、Cookie必须为httpOnly。  
3、使用CSP（内容安全策略），虽然配置过程比较麻烦，但这觉得是值得的。

4、在客户端响应中使用X-Frame-Option和X-XSS-Protection头。

5、使用HSTS响应，使用HTTPS。

6、在所有的表单中使用CSRF令牌。

**API 篇**  
1、确保你所有的公共API中没有可以枚举的资源。

2、确保用户在使用你的API之前，对他们的身份进行验证。

**验证篇**  
1、在客户端对用户的输入进行验证，并即使给予反馈（Ajax），但永远不要相信用户输入的数据。

2、在服务器端再对用户所输入的每一个字符进行一次彻底的验证，永远不要直接将用户输入的内容注入到响应数据中，永远不要直接在SQL语句中插入用户提供的数据。

**云端配置篇**  
1、确保所有的服务只开启必要的端口，关闭不用的端口，并对常用端口进行强制性的安全保护，因为通过非标准端口来进行攻击对于攻击者而言相对来说是比较困难的。

2、确保服务器后台数据库和后台服务无法通过公网查看到。

3、在单独的VPC节点配置逻辑服务或提供服务内通信。

4、 确保所有的服务只接受来自有限IP地址的数据。

5、限制输出数据的IP地址以及端口。

6、使用AWS IAM角色，不要使用root凭证。

7、对所有的管理员和开发人员提供最小的访问权限。

8、定期更换密码和访问密钥。

**基础设施篇**  
1、确保可以在主机不下线的情况下进行更新操作，确保部署了全自动化的软件更新策略。

2、使用类似Terraform这样的工具来创建所有的基础设施，不要使用云端console（控制台）来进行创建。

3、对所有服务的日志进行集中记录，不要通过SSH来访问或获取日志。

4、不要让AWS服务组的端口22保持开启状态。

5、一定要部署入侵检测系统。

**操作篇**  
1、关闭不用的服务和服务器，因为最安全的服务器是那些关闭着的服务器。

**测试篇**  
1、开发完成之后，对你的设计和代码实现进行多次安全审查。

2、进行渗透测试，也就是自己黑自己，但你也要让别人来对你的网站进行渗透测试。

**计划篇**  
1、创建一个安全威胁模型，用来描述你可能会遇到的威胁以及攻击者。  
2、设计一个安全应急响应方案，你总有一天会用到的。

**如果你觉得这个清单遗漏了什么的话，欢迎在文章下方的评论区留言补充，安全社区的壮大需要大家的共同努力。**

发表评论取消回复

表情：

评论列表（有 0 条评论，183人围观）

还没有评论，来说两句吧...

相关阅读

相关 make 备忘清单_开发速查表分享

make 备忘清单 make是一条计算机指令，是在安装有GNU Make的计算机上的可执行指令。该指令是读入一个名为makefile \[1\] 的文件，然后执行这个文件

柔情只为你懂/ 2024年03月16日 21:57/ 0 赞/ 23 阅读

相关模块速查表 JavaScript

这是 JavaScript 模块的备忘单：出口： // Exporting a named function export function fun

ゝ一纸荒年。/ 2024年03月16日 19:47/ 0 赞/ 62 阅读

相关 MarkDown速查表

<table> <thead> <tr> <th>大写</th> <th>markdown</th> <th>小写</th> <th>

梦里梦外;/ 2023年01月08日 10:27/ 0 赞/ 207 阅读

相关 jquery速查表

1.8.3 [http://www.phptown.net/shouce/jquery/jquery1\_8\_3/cheatsheet.html][http_www.php

向右看齐/ 2022年08月18日 13:22/ 0 赞/ 190 阅读

相关 android开发笔记之国家/地区语言速查表

国家\_地区语言速查表 en 英文 en\_US 英文 (美国) ar 阿拉伯文 ar\_AE 阿拉伯文 (阿拉伯联合酋长国) ar\_BH 阿拉伯文 (巴林

深碍√TFBOYSˉ_/ 2022年07月24日 06:10/ 0 赞/ 429 阅读

相关 yii2速查表

Yii2速查表 body \{-webkit-font-smoothing: antialiased;-moz-osx-font-smoothing: grayscale;m

淡淡的烟草味﹌/ 2022年06月15日 01:11/ 0 赞/ 249 阅读

相关 ASCII码速查表

<table> <tbody> <tr> <th>ASCII值</th> <th>控制字符</th> <th>ASCII值</th>

ゞ浴缸里的玫瑰/ 2022年05月10日 03:10/ 0 赞/ 276 阅读

相关 Web开发者安全速查表

想要开发出一个安全的、健壮的Web应用其实是非常困难的，当你仔细核查了本文给出的安全小贴士之后，你可能会发现你在产品的开发阶段跳过了很多重要的安全步骤。下面的这份速查表非常简洁

叁歲伎倆/ 2022年04月13日 09:11/ 0 赞/ 184 阅读

相关 Bash中文速查表

最好用的中文速查表（Cheatsheet） > 来源：https://github.com/skywind3000/awesome-cheatsheets > > 感谢

淡淡的烟草味﹌/ 2021年12月03日 07:45/ 0 赞/ 352 阅读

相关 Typescript语言速查表

data.ts // - 变量-单个变量 const a: number= 1; let b: string = 'str'; var c

水深无声/ 2021年06月26日 16:06/ 0 赞/ 419 阅读