JavaEE（二）---Web 应用程序安全性问题及基本安全实施策略

注：本文是答9.web中安全性问题的考虑，如何防止 的，仅为了自己学习，向原博主致敬。

原博文网址：http://www.cnblogs.com/sunniest/p/4646515.html

一、运行时Web应用程序安全性问题：

在开发应用程序时，必须处理一组安全性问题。

另一组安全性问题则与应用程序在部署和运行时的安全性有关。

按照其定义，Web应用程序允许用户访问中心资源（即Web服务器）并通过此中心资源访问其他资源（如数据库服务器）。当了解并实现正确的安全性措施后，您将：

1.保护自己的资源不受未经授权的访问。

2.按用户或角色限制访问级别。

3.确保数据完整性和保密性，以提供一个用户能够在其中放心使用应用程序的相对安全的环境。

4.建立对应用程序访问受限制资源的方式的控制。

5.确保应用程序的代码按预定方式运行。

二、Web 应用程序的基本安全实施策略：

1. 常规 Web 应用程序安全性建议

   a.经常进行备份，并将备份存放在安全的场所。

   b. 关闭不使用的端口并关闭不使用的服务。

  c . 使用防火墙。

2.防止恶意用户的输入：

  a. 决不回显（显示）未经筛选的用户输入。

  b. 切不可将未经筛选的用户输入存储在数据库中。

3.安全的访问数据库：

  a. 使用数据库的内在安全性来限制可以访问数据库资源的人员。

4. 创建安全的错误消息:

    如果您不小心，恶意用户就可以从应用程序显示的错误消息推断出有关您的应用程序的重要信息。请遵 循这些指导：

   a. 不要编写会回显可能对恶意用户有用的信息（例如用户名）的错误消息。

  b. 将应用程序配置为不向用户显示详细错误。

  c. 对于容易发生错误的情况（如数据库访问）创建自定义错误处理方式。

5. 安全地使用 Cookie：

  a. 不要将任何关键信息存储在 Cookie 中

  b. 将 Cookie 的过期日期设置为可接受的最短实际时间。尽可能避免使用永久 Cookie。

  c. 考虑对 Cookie 中的信息加密。

6.防止拒绝服务威胁：

  a. 使用错误处理（例如，try-catch）。包含 finally 块，以便万一失败就可以在其中释放资源。

  b. 在使用或存储用户输入之前，测试它的大小限制。

  c. 对数据库查询的大小加以限制以确保安全。例如，在 ASP.NET 网页中显示查询结果之前，请确保包含的记录数是合理的。

  d. 如果文件上载是您的应用程序的一部分，则对它们的大小加以限制。