阿里入职编码规范培训
- 隶属于用户个人的页面或者功能必须进行权限控制校验。目的:防止没有做水平权限校验的就可以随意访问,修改,删除别人的数据,比如查看他人的私信内容修改他人订单
- 用户敏感数据禁止直接展示,必须对展示数据进行脱敏。说明:中国大陆个人手机号码显示为138****0265,隐藏中间4位,防止隐私泄露
- 用户输入的SQL参数严格使用参数绑定或者METADTA字段限定,防止SQL注入禁止字符串拼接SQL访问数据库。
- 用户请求传入的任何参数必须要做有效性验证。忽略参数校验可能会导致 page size过大导致内存溢出、恶意orderby导致数据库查询慢、任意重定向、SQL注入、反序列化注入、正则输入源拒绝服务RoDos
- 禁止向HTML页面输出未经安全过滤或未正确转义的用户数据。
- 表单,AJAX提交必须执行CSRF安全验证
- 在使用平台资源。例如短信、邮件、电话、下单、等,必须实现正确的防重放机制,如数量限制验证码校验等。步滚轮设置** 等功能,功能按钮位于编辑区域与预览区域中间;
- 发帖、评论、发送即使消息等用户生成的内容的场景必须实现防刷、文本内容违禁词过滤等风控策略
- 表达是与否概念的字段,必须使用is_xxx的方式命名,数据类型是unsigned tinyint(0表示是,1表示否)。任何字段如果是非负数必须是unsigned。
- 表名字段名必须使用小写字母或数字,禁止出现数字开头,严禁两个下划线中间出现数字。
- 表名不使用复数名词