网站的安全性检测应该在哪个层次判断比较好.

Question

我现在的项目是个小项目,比方说一些地址栏参数校验和其它的一些常规校验,应该放在UI层还是放在数据层.

放在哪个层面比较好?因为我们是通过接口处理一些数据然后通过调用一个接口返回XML数据,再封装成我们需要的数据.而那个接口那一层应该放校验吗?

Answer 1

在调用之前再封装一层，对调用进行截取核对数据合法性，弄个代理模式啥的。如果只是一些简单的输入校对的话，直接在UI层弄几个正则表达式进行核对下就行了。仅属个人感觉，瞎掰几句

Answer 2

肯定不是数据层。 个人感觉应该在逻辑层，小项目，也不考虑过多扩展的话，UI也可以吧？ ps：我不是高手，只是个人感觉。

Answer 3

嗯,我之前也是在页面里面判断的,但是这样做的话在规范性方面上级说不行,必须得在接口里判断,...郁闷

Answer 4

呵呵，那你就先设计好接口吧。

Answer 5

每个接口接收数据时都要做检测。

Answer 6

在接收数据时做测试这是必须的,现在就是说传参的时候是不是也必须得在接口那一层做检测,而我是放在页面端的,因为是直接传一个URL,所以把检测过的URL再拼接放到接口那一层,这样的话就不必在接口那一层做判断了.因为判断这个很繁琐,不能用正则表达式,有的时候参数很多,有几十个,而且每种状态传的参数都不一样,这样放在接口里面会显得非常的繁琐,而且是很多个方法都调这同一个接口,这样不知道放在里面会不会特别的杂乱.我的意思就是放在界面层的,然后直接把URL传到接口调数据,而我的上级说必须得在接口那一层,所以我很郁闷.

Answer 7

@路过春秋:如果数据安全级别不高，只是为了数据的准确性，在前端是第一层验证，但是要认识到这一层是可以跳过的，所以服务器端做验证是必须的（要求高的）。当然这些根据你们的需求，针对的人群。

Answer 8

HttpModule中检测