,如使用"用户名或密码错误"来提示失败,防止泄露过多信息
异常处理 登录入口应具有防止暴力或撞库猜解(利用已泄露的密码字典进行批量登录尝试)的措施,超过1次验证失败自动启用图灵测试,超过多次验证失败自动启用账户锁定机制限制其访问...交易支付过程还应该形成完整的证据链,待交易数据应经过发起方数字签名
多因子验证 高度敏感或核心的业务系统,建议使用多因子身份验证机制,如短信验证码、软硬件 Token等。...禁止错误回显 禁止系统开启 Debug模式或异常时返回包含敏感信息的提示,建议使用自定义的错误信息模板异常信息应存放在日志中用于安全审计
XSS注入 输入校验 对输入的数据进行过滤和转义,包含但不限于\...CSRF跨站请求伪造 Token使用 在重要操作的表单中增加会话生成的 Token字段次一用,提交后在服务端校验该字段
二次验证 在关键表单提交时,要求用户进行二次身份验证如密码、图片验证码、短信验证码等...Referer验证 检验用户请求中 Referer:字段是否存在跨域提交的情况
文件上传安全 身份校验 进行文件上传时,在服务端对用户的身份进行合法性校验
合法性校验 进行文件上传时,在服务端对文件属性进行合法性校验