-
隶属于用户个人的页面或者功能必须进行权限控制校验。目的:防止没有做水平权限校验的就可以随意访问,修改,删除别人的数据,比如查看他人的私信内容修改他人订单
-
用户敏感数据禁止直接展示,必须对展示数据进行脱敏。说明:中国大陆个人手机号码显示为138****0265,隐藏中间4位,防止隐私泄露
-
用户输入的SQL参数严格使用参数绑定或者METADTA字段限定,防止SQL注入禁止字符串拼接SQL访问数据库。
-
用户请求传入的任何参数必须要做有效性验证。忽略参数校验可能会导致 page size过大导致内存溢出、恶意orderby导致数据库查询慢、任意重定向、SQL注入、反序列化注入、正则输入源拒绝服务RoDos
-
禁止向HTML页面输出未经安全过滤或未正确转义的用户数据。
-
表单,AJAX提交必须执行CSRF安全验证
-
在使用平台资源。例如短信、邮件、电话、下单、等,必须实现正确的防重放机制,如数量限制验证码校验等。步滚轮设置** 等功能,功能按钮位于编辑区域与预览区域中间;
-
发帖、评论、发送即使消息等用户生成的内容的场景必须实现防刷、文本内容违禁词过滤等风控策略
-
表达是与否概念的字段,必须使用is_xxx的方式命名,数据类型是unsigned tinyint(0表示是,1表示否)。任何字段如果是非负数必须是unsigned。
-
表名字段名必须使用小写字母或数字,禁止出现数字开头,严禁两个下划线中间出现数字。
-
表名不使用复数名词,表名应该仅仅表示表里的实体内容,不应该表示实体数量。
阿里入职编码规范培训
![](https://img-home.csdnimg.cn/images/20240711042549.png)