二、编码安全
2.1 输入验证
说明 检查项
概述 任何来自客户端的数据,如URL和参数、HTTP头部、 Javascript戓其他嵌入代码提交的信息,都属于不可信数据。...:数据类型如字符.数字、日期等特征;数据范國;数据长度等
防范SQL注入 不可信数据进入后端数据库操作前,建议使用正角的参数化查询来处理,避免出现SQL注入
文件校验 不可信数据为解压缩的文件时,如果文件位于服务目录外或文件大小超过限制...禁止错误回显 禁止系统开启 Debug模式或异常时返回包含敏感信息的提示,建议使用自定义的错误信息模板异常信息应存放在日志中用于安全审计
2.4 XSS跨站
说明 检查项
输入校验 对输入的数据进行过滤和转义...在多个验证操作中,要对各验证机制进行排序,以防出现跳过前面验证机制直接到最后步认证的安全风险
密码使用 应用开发中禁止设置万能密码、硬编码明文的密 码、使用数据库管理员账户操作、不同用户公用账 户操作或者将密码输出到日志文件或者控制台...一旦出现异常,应该在日志中完整记录异常的发生时间、代码位置、报错详情、触发错误的可能用户等,重要系统的严重异常应该有报警的机制,及时通知系统运营者及时排查并修复题
自定义错误信息 在生产环境下,应用程序不应在其响应中返回任何系统生成的消息或其他调试信息