web服务器网络安全补充
1、业务接口未授权,对私有数据访问进行用户登录状态检测。
2、私有用户数据访问用户下发令牌,设置令牌过期时间。
3、跨站请求伪造,对一些特殊的接口加强访问来源限制(请求头信息)。
4、用户名枚举,对用户登录相关的信息提示尽可能的模糊,防止用户根据提示规律进行暴力破解。
5、不安全的加密传输,对一些非用户在线状态校验的接口,可以对请求信息进行加密解密验证,防止非法或者恶意消耗资源。
6、防止恶意请求攻击,造成数据库崩溃。对访问频率和频次比较高的接口,对接口数据进行缓存设置,减少数据库访问次数。
7、防止站点js代码执行攻击,对网站文本输入类容进行js代码关键词过滤。
8、白名单设置,对特殊的敏感的接口访问,对访问来源ip进行过滤,系统配置白名单进行拦截。
10、防暴力破解,系统登录时,对用户名或者访问ip来源最大错误次数设置,防止用户恶意破解用户名和密码。