安全

大纲

• 系统设计
  • 精细化的权限模型
  • 比如 ID 遍历问题信息泄漏问题
• 常见安全问题
  • 见后面详述
• 环境安全
  • 比如文件系统权限应精细设置，不能一概 777
  • php.ini 设置、mysql 设置应采用安全设置，禁用掉危险函数配置等
  • 及时打补丁修复漏洞
  • 框架采用长期版本 LTS 版本

XSS 跨站脚本 Cross-site scripting

解决办法：

• 过滤特殊字符
• 使用 HTTP 头指定类型

CSRF 跨站请求伪造 Cross-site request forgery

是攻击者通过一些技术手段欺骗用户的浏览器去访问一个自己曾经认证过的网站并运行一些操作

这利用了 web 中用户身份验证的一个漏洞：简单的身份验证只能保证请求发自某个用户的浏览器，却不能保证请求本身是用户自愿发出的。

解决办法：

• 检查 Referer 字段
• 添加校验 token

SQL注入

扫描工具：sqlmap

解决办法：

• 参数预绑定，或者使用ORM框架的参数绑定