二、编码安全
2.1 输入验证
说明 检查项
概述 任何来自客户端的数据,如URL和参数、HTTP头部、 Javascript戓其他嵌入代码提交的信息,都属于不可信数据。...在应用外部边界或内部每个组件或功能边界,都将其当做潜在的恶意输入来校验
白名单 不可信数据可以设定白名单校验的,应接受所有和白名单匹配的数据,并阻止其他数据
黑名单 不可信数据中包含不良输入字符时,如空字节...SQL注入
说明 检查项
概述 用户的输入进入应用程序的SQL操作前,对输入进行合法性校验。...说明 检查项
概述 所有对非公开的网页和资源的访问,必须在后端服务上执行标准的、通用的身份验证过程
提交凭证 用户凭据必须经过加密且以POST方式提交,建议用HTPS协议来加密通道、认证服务端
错误提示...安全地处理失败的身份校验,如使用"用户名或密码错误"来提示失败,防止泄露过多信息
异常处理 登录入口应具有防止暴力或撞库猜解(利用已泄露的密码字典进行批量登录尝试)的措施,超过1次验证失败自动启用图灵测试