## 一、概述 業務應用的安全問題，是一個核心的非功能性問題。當前，web應用面臨的主要安全問題包括：黑客入侵、撞庫拖庫、網頁篡改、后門木馬、加密勒索、數據泄露等，一旦發生，會對業務的運營和用戶造成無法挽回的損失，因此，在設計階段就把系統安全，納入考量，是非常必要和重要的； ## 二、常見的安全問題 常見的安全問題，一般包括以下這些類型； 1、數據曝露：通過技術手段，繞過接口驗證機制，獲取后端數據，找到SQL注入點，拉庫；由于數據明文存儲和傳輸，入侵后竊取用戶信息或篡改數據，例如篡改網頁；偽造移動app訪問，獲取敏感數據； 2、應用控制：弱口令、系統漏洞。通過系統漏洞入侵，并上傳后門、木馬等； 3、網絡防控：沒有防范DDoS進攻的能力，DDoS攻擊，造成業務中斷； ## 三、web應用解決方案 產品作為典型的web應用，如何針對具體的web應用安全問題，提供解決方案呢？以下將具體闡述FA+Esuite產品的技術解決方案； 1、SQL注入 問題描述：由于系統設計的時候，對敏感字符不加過濾不做轉義處理，導致惡意用戶可以通過系統的輸入獲取后端完整的數據庫，破壞系統的安全； 解決方案：對輸入數據進行驗證/編碼/過濾，不組裝SQL語句而是使用預編譯SQL語句；如果需要動態組裝SQL語句，確保對特殊字符進行轉義；禁止將任何高權限賬號用于應用程序數據庫訪問，而是單獨為應用創建有限權限的賬號； 2、跨站腳本攻擊 問題描述：惡意用戶在系統頁面輸入控件注入惡意腳本，若系統對輸入的數據不進行處理，直接結果輸出到瀏覽器，瀏覽器將執行惡意腳本，破壞系統的安全； 解決方案：首先，一定要明確一個觀點，一切外部來源數據，都要被我們服務端代碼的過濾，才能讓他展示到頁面上。也就是說，一切外部數據，我們都認為它是非法的，一定要做好過濾；具體的可以通過編碼轉義和字符過濾的方式來避免該安全問題，對HTML標簽關鍵字符進行編碼轉義，對事件、腳本等關鍵字符串進行過濾，避免注入有害腳本，造成攻擊發生； 3、認證和會話管理漏洞 問題描述：Http利用會話管理機制來實現連接識別。用戶登錄通過身份認證后獲取session,通常放在cookie中，之后根據session對用戶身份進行識別，而不需要每次都要登陸，這種機制導致了信息泄露、用戶會話被劫持，破壞系統的安全； 解決方案：對用戶密碼強度設置做要求，登錄使用驗證嗎，對連續多次登錄失敗的賬號進行鎖定，另外，避免在URL中顯示sessionID，確保退出、注銷功能強制銷毀session對象； ## 四、網絡安全拓撲 1、如果采用自主機房的部署方案，那么，需要自行考慮硬件層面的網絡安全方案。這個領域的技術已經很成熟，建議網絡安全拓撲方案如下：  2、如果采用云機房，則無需考慮硬件層面網絡安全，云機房自身已經有了完備的網絡安全方案； ## 五、安全交付 在系統部署上線之前，應該進行安全測試，通過之后，方可交付上線； 推薦一些好用的測試工具： FindBugs：做白盒測試； Selenium：做黑盒測試；