web运行时安全

kalinux

已于 2024-03-01 10:35:26 修改

阅读量542

点赞数 3

文章标签：安全网络 web安全

于 2024-02-27 19:04:00 首次发布

本文链接：https://blog.csdn.net/kalinux/article/details/136329292

版权

本文概述了Web开发中关键的安全措施，包括数据输入验证、身份认证与授权机制、安全配置、错误处理与日志记录、加密解密技术、访问控制、应用更新和编码规范，以及定期的安全审计。

摘要由CSDN通过智能技术生成

1.输入验证

对传递的数据的格式、长度、类型（前端和后端都要）进行校验。

对黑白名单校验：比如前端传递了一个用户名，可以搜索该用户是否在白名单或者黑名单列表。

针对黑名单校验，比如：

// 手机号验证码登录的时候，需要check一下手机号
async sendAuthCode(phone){
   if(!_.isString(v))return false
   const phone = phone.replace(/[a-zA-Z]/gi,'')
   if(phone.length!==11) return false
   const forbidden = ['170','171','165','167']
   const isR = forbidden.some(item=>phone.startsWith(item))
   if(isR)return false
}

2.身份认证与授权

身份认证（属于node后端责任），核心思想：后端A向第三方服务B端发起请求的时候在请求头添加一个3个字段：
projectKey,appKey,authorization，

其中前两个key是A和B商量好的一串码（比如dfs3290sdf)

authorization是通过给param参数转成md5，混合一堆content-type,uri之类的配合B提供的密钥secretKey进行hmac编码，生成签名signature。

然后B端根据相反的规则解析这三个字段，与自己手上的projectKey,appKey，secretKey进行对比

上代码：

//  伪代码

const Authorization = this.getAuthorization('POST', reqParams, this.contentType, this.uri, date, this.secretKey, this.accessKey);
            const headers = {
                'Content-Type': this.contentType,
                'Authorization': Authorization,
                'projectKey': this.projectKey,
                'appKey': this.appKey,
                'Date': date,
                'X-Forwarded-For': '192.168.42.94'
            }
            
                const options = {
                    method: 'POST',
                    headers
                };
const res = await this.Fetch(url, options, param);


getAuthorization(method, params, contentType, uri, date, secretKey, accessKey): string {
        const md5 = this.getContentMD5(params);
        const constToSign = method + '\n' + md5 + '\n' + contentType + '\n' + date + '\n' + uri;
        // 将constToSign施行utf-8转换
        const utf8Data = Buffer.from(constToSign, 'utf8');
        // 使用HMAC-SHA1和密钥进行编码
        const hmac = crypto.createHmac('sha1', secretKey);
        hmac.update(utf8Data);
        const encodedData = hmac.digest();
        // 使用Base64进行最后的编码
        const signature = encodedData.toString('base64');
       
        return `${accessKey}:${signature}`;
    }

getContentMD5(params) {
    let contentMD5 = '';
    const jsonString = qs.stringify(params);
    contentMD5 = crypto.createHash('md5').update(jsonString).digest('base64')
    return contentMD5;
}