阿里入职编码规范培训

1. 隶属于用户个人的页面或者功能必须进行权限控制校验。目的：防止没有做水平权限校验的就可以随意访问，修改，删除别人的数据，比如查看他人的私信内容修改他人订单

2. 用户敏感数据禁止直接展示，必须对展示数据进行脱敏。说明：中国大陆个人手机号码显示为138****0265，隐藏中间4位，防止隐私泄露

3. 用户输入的SQL参数严格使用参数绑定或者METADTA字段限定，防止SQL注入禁止字符串拼接SQL访问数据库。

4. 用户请求传入的任何参数必须要做有效性验证。忽略参数校验可能会导致 page size过大导致内存溢出、恶意orderby导致数据库查询慢、任意重定向、SQL注入、反序列化注入、正则输入源拒绝服务RoDos

5. 禁止向HTML页面输出未经安全过滤或未正确转义的用户数据。

6. 表单，AJAX提交必须执行CSRF安全验证

7. 在使用平台资源。例如短信、邮件、电话、下单、等，必须实现正确的防重放机制，如数量限制验证码校验等。步滚轮设置** 等功能，功能按钮位于编辑区域与预览区域中间；

8. 发帖、评论、发送即使消息等用户生成的内容的场景必须实现防刷、文本内容违禁词过滤等风控策略

9. 表达是与否概念的字段，必须使用is_xxx的方式命名，数据类型是unsigned tinyint（0表示是，1表示否）。任何字段如果是非负数必须是unsigned。

10. 表名字段名必须使用小写字母或数字，禁止出现数字开头，严禁两个下划线中间出现数字。

11. 表名不使用复数名词，表名应该仅仅表示表里的实体内容，不应该表示实体数量。