web服务器网络安全补充
1、业务接口未授权，对私有数据访问进行用户登录状态检测。
2、私有用户数据访问用户下发令牌，设置令牌过期时间。
3、跨站请求伪造，对一些特殊的接口加强访问来源限制（请求头信息）。
4、用户名枚举，对用户登录相关的信息提示尽可能的模糊，防止用户根据提示规律进行暴力破解。
5、不安全的加密传输，对一些非用户在线状态校验的接口，可以对请求信息进行加密解密验证，防止非法或者恶意消耗资源。
6、防止恶意请求攻击，造成数据库崩溃。对访问频率和频次比较高的接口，对接口数据进行缓存设置，减少数据库访问次数。
7、防止站点js代码执行攻击，对网站文本输入类容进行js代码关键词过滤。
8、白名单设置，对特殊的敏感的接口访问，对访问来源ip进行过滤，系统配置白名单进行拦截。
10、防暴力破解，系统登录时，对用户名或者访问ip来源最大错误次数设置，防止用户恶意破解用户名和密码。
2489
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
