:数据类型如字符.数字、日期等特征;数据范國;数据长度等
防范SQL注入 不可信数据进入后端数据库操作前,建议使用正角的参数化查询来处理,避免出现SQL注入
文件校验 不可信数据为解压缩的文件时,如果文件位于服务目录外或文件大小超过限制...,根据输出场景对其进行相关编码,如HTML实体编码、UR编码
净化场景 针对操作系统命令、SQL和LDAP查询,净化所有输出的敏感信息,如银行卡、手机号、系统信息等
身份验证 概述 所有对非公开的网页和资源的访问...密码存储 用户密码存储时,应采用哈希算法(如SHA1)计算用户密码和唯一随机盐值(Salt)的摘要值保存其摘要和Sat值,建议分开存储这两个值
密码修改 用户修改密码时,修改操作需要通过手机号或者邮箱地均进行一次身份验证...参数化处理 用参数化查询(PHP用PDO,Java用 PreparedStatement,C#用 Sqlparameter)方法对敏感字符如"进行转义,然后再进行SQL操作。...禁止错误回显 禁止系统开启 Debug模式或异常时返回包含敏感信息的提示,建议使用自定义的错误信息模板异常信息应存放在日志中用于安全审计
XSS注入 输入校验 对输入的数据进行过滤和转义,包含但不限于\