项目安全测试问题记录

问题1：项目最近要上线，需要走一遍安全测试，但是遇到一个问题就是我们业务需要释放用户的openid,但是在某些场景下又需要去使用openId传参，给安全测试老师钻了漏洞，通过抓包工具抓到其他人的openid，又在其他的接口中去改变参数从而获取到重要数据。

第一次解决：因为openid并不需要展示，所以把可能传出来的openid都查询不到了。

这种解决方案看似源头上解决了，但是不影响我事先知道openid，照样可以改变参数去获取到某些参数。另外在前端上也造成了展示判断场景异常。

所以，这一种方案失败 

 第二次解决：因为我们请求头里边有openid，参数如果是不是这个openid比对一下，不是就不给数据了。

还是不行，因为部署上去之后，安全测试老师还是给攻破了。因为请求头里边的东西也是可以更换的

所以，这一种方案失败 

  第三次解决：我们在请求头里边加入userId的密文，到服务解密（虽然最近解密那个烂片搞得心情不好，还是要提一嘴，真正的解密是很有意思的）找到相关的用户openid，比对header头部的openid和参数openid.

当然，这个方案是成功了，我画了一个逻辑图，如下：

问题2：数据任意提交--上送的信息漏了校验

问题是这样的，我们在某些场景下，需要搜集用户的某些数据，但是这些数据有些是非必传的，所以并没有对这些数据进行格式限制，属于马虎大意了，这个问题已经解决。

问题3：未授权访问 

这个问题就是一个历史的接口，没有token情况下获取相关的数据，加入token校验。

问题4：短信轰炸 

虽然客户端有了防抖，60秒的短信获取，但是安全测试老师还是通过手段大量获取，这个60秒前后端统一起来这个问题就解决了。也就是我们很多业务需要前后端同时去解决才可行。

 最近我们上线的项目比较多，后续进行新问题补充。。。