关于web安全的思考

这周有一次关于软件安全的讨论，比如Sql注入和Xss，

     Sql注入需要采取手段防止额外的拼接；

      Xss需要处理好用户的输入是否要到浏览器中执行，但按照业务需要分为执行和不执行两种；不执行的情况比较好办，比如Velocity的Escape工具既可以实现。执行的情况：对于用户的输入确实又要在浏览器中执行的情况，可以用黑白名单来做到。

     我这里想强调的是另一点，判断一个用户是否登陆一般由session或者cookie来做到，然后做拦截器；但如果一个用户登陆了，本来要删除自己的blog，但是通过firebug等工具，修改成其他人的blog_id,然后提交删除的操作，估计很多情况下可以把其他人的blog删除掉。也就是写这种删除操作的时候，也需要判断一次这个blog的owner。

     这里mark一下，抽时间做实验验证...

转载于:https://my.oschina.net/u/177808/blog/186538