低代码开发的安全性如何？

低代码的英文是Low Code，顾名思义就是很少代码就可以实现功能。当然，此“Low”非彼“Low”，它意指一种快速开发的方式，使用最少的代码、以最快的速度来交付应用程序。

低代码发展至今，早已不是一个新词汇，最早可以追溯到1980年的IBM。当年的IBM如日中天，微软还是它的小弟时。IBM就推出了快速应用程序开发工具（RAD），第一次提出了低代码的概念。仔细深究后你会发现，其实很多计算机的相关概念和功能都是IBM发明的，IBM蓝色巨人是计算机历史中真正的巨人。

在那个计算机技术还处于萌芽阶段的时代，IBM 凭借其强大的研发实力和创新精神，不断推动着计算机技术的发展。从早期的大型主机到个人电脑，从操作系统到数据库管理系统，IBM 在计算机领域的每一个重要领域都留下了自己的足迹。

一、低代码开发的安全性如何？

近几年，低代码开发平台因其高效、快速的应用开发能力而备受关注。然而，对于许多企业来说，安全性是一个关键问题。

通常来讲，低代码/无代码平台的发展将开发人员分成了两种，一种叫专业开发者，另外一种叫公民开发者。专业开发者就是以前的开发人员，一般都会懂IT技术；而公民开发者一般就是以前的商务人员，一般不懂IT技术。公民开发者通过视图式的拖拖拽拽的操作基于低代码/无代码平台完成自己的业务应用。

但是低代码平台就真的可以信任吗？低代码平台都有哪些安全隐忧呢？我们现在来看看。根据我的观察，低代码的安全性主要体现在以下几点：

1、低可视性

第一个问题就是低可视性，或者换句话说就是缺乏透明度。我们只知道拖拖拽拽就可以做好一个应用，但不知道这个应用是怎么运行的，底层是怎么样的？我的数据是否安全？另外现在经常说的开源软件漏洞，这个平台有没有，会不会因为这个平台的缺陷导致我的业务遭受损失

2、不安全的代码

第二个问题就是不安全的代码。众所周知，是代码就会有缺陷，没有不存在缺陷的代码。对于低代码/无代码平台，拖拖拽拽的背后还有有底层代码的实现的，这些底层代码是否可靠，这些底层代码是否经过了安全测试，平台公司的安全水平如何？会不会很容易被黑客攻破？

3、没人监管的影子IT

第三个问题叫无人监管的影子IT。何谓影子IT，就是在组织内未经批准使用软件、硬件或其他系统和服务，而该组织的信息技术(IT) 部门往往并不知情。低代码/无代码平台衍生出的公民开发者，不需要太多IT知识就可以自己创建一个应用，这个时候IT部门可能就缺乏监管了，但是一旦系统上线了，可能就会给IT系统带来风险。

4、业务中断

公民开发者使用低代码/无代码平台创建应用很方便，但是应用的运行要依赖于平台。如果平台发生中断，我们业务就会中断，这个是不受我们自己控制的，这个要有SLA来保障。而且应用依赖的接口和API发生变更，业务一样会中断，这个风险就比较高了。

5、身份认证出问题

第五个问题就是身份认证出问题，这个是经常被公民开发者忽略的。OWASP发布了《OWASP低代码十大安全风险》，其中很多个风险都是与身份认证有关的。公民开发者很愉快地使用自己的超级用户创建了一个系统，然后这个系统被普通用户使用，然后普通用户非常有可能利用平台的设计的漏洞冒充变成了超级用户，获得了普通用户不可能获得的权限或者功能。比如删除别人的数据、浏览别人的数据。这个不是吓人的，而是真的已经发生的。

二、低代码风险的规避办法

但是低代码/无代码平台带来的业务价值非常大，我们不可能不用，那么我们需要做点什么才能比较好地保护自己不受伤害，下面就有几条建议。

保障低代码应用开发平台的安全性可以从以下多个方面入手：

1、选择可靠的平台供应商：

在选择低代码平台之前，对供应商进行仔细评估。确保供应商遵守安全行业标准和最佳实践，并对其安全策略保持透明。

2、执行常规安全审计：

企业应定期审核应用程序的安全漏洞，并及时实施修复。同时，就任何安全问题与低代码平台供应商保持沟通。

3、实施安全控制：

在低代码平台提供的基础安全控制之上，根据实际需求实施额外的安全控制，并在可能的情况下进行定制，以满足特定业务的安全要求。

4、培训开发人员：

开发人员需接受安全培训，了解安全编码实践，以便能够识别潜在的安全漏洞，降低因人为错误引入的风险。他们应熟悉如何正确配置安全设置并遵守安全编码规范。

5、关注后端编码可见性：

尽管低代码平台在开发人员和源代码之间创建了抽象，但仍需确保有一定的机制来审查后端代码，以便发现可能隐藏的安全问题，如不安全的数据库访问等。

6、管理第三方依赖关系：

由于低代码平台依赖大量第三方依赖项，如库、API 和预构建组件，需对这些依赖项进行严格管理。评估其安全性，及时更新以修复可能存在的漏洞。

7、强化共享基础设施安全：

如果平台依赖共享基础设施，需采取措施降低单个租户被攻破后对其他租户的影响，如加强隔离和访问控制。

8、保障数据隐私和合规性：

支持本地部署、全 SSL 数据传输、密码强度策略、跨域访问控制、细粒度的用户权限控制等，全方位赋能开发者构建安全的、符合企业规则的企业级应用。

9、进行分层式安全设计：

在基础设施层、平台层、服务器层等各个层面都设置相应的安全措施，例如采用高级别的认证、进行网络安全监测、与安全厂商合作开展漏洞披露项目等。

10、利用治理工具：

使用如控制中心、具备编程能力的集成开发环境、应用程序测试套件、质量监控工具等治理工具，来管理应用开发的整个生命周期，确保开发过程符合安全和治理标准。

11、最好是具备资质证明：

平台说一百句都是没有用了，不知道可靠不可靠，但是平台提供的资质证明还是不错的。比如等保3级或2级，SOC2，PCIDSS，ISO27001等安全认证，还是比较靠谱的。还有，平台应该定期，比如每年提供安全审计的报告，证明他们的安全是过关的。重要事情说三遍，资质、资质、资质。

12、能纳入IT监管：

低代码/无代码平台要纳入IT的监管，对于需要上新的业务，要进行审批和登记，这样就可以有效避免影子IT的问题，同时业务会纳入IT的日常监控，也会有效应对业务中断问题。

不同的低代码平台在安全性方面的实现方式可能会有所差异，企业在使用时需根据自身需求和实际情况，综合考虑并采取适当的安全措施。同时，随着技术的发展和新的安全威胁的出现，持续关注和加强安全防护也是至关重要的。

三、结束语

低代码/无代码平台不是一个新流行的事情，还是有比较久的历史。最近几个朋友吹牛说他们很久之前用的易语言就是低代码/无代码平台，只是当年生不逢时，所以当年没有火，现在火了。

低代码/无代码平台对业务帮助还是非常大的，业务价值非常高。虽然它有一些安全隐忧，但是我们还是可以有效应对的，也不至于过于慌张。世界上没有绝对安全的软件，所以我们也不用杞人忧天，该用还是用，该防范的还是防范。

合理并有效地运用低代码平台，不仅可以让公司业务高效地运行，还能最大程度保证团队目标的达成。比如我们公司正在用的低代码平台：织信Informat，这个平台基于数据模型优先的设计理念，提供大量标准化的组件，内置AI助手、组件设计器、自动化（图形化编程）、脚本、工作流引擎（BPMN2.0）、自定义API、表单设计器、权限、仪表盘等功能，能帮助企业构建高度复杂核心的数字化系统。如ERP、MES、CRM、PLM、SCM、WMS、OA、项目、企业服务等多个应用场景，全面助力企业落地数字化转型战略目标。