web渗透--2--web安全原则（上）

web安全原则

安全应该是系统开发之初就考虑的问题。换句话说，安全是一个成熟系统的必备特性。在项目说明中不谈安全，并非因为不需要，而是因为安全都是隐藏的。

安全性设计中的关键问题是挖掘出系统存在的安全漏洞。在这我们可以采用黑盒测试或者安全检测工具来进行。在开发过程中，遵守一些web安全原则，是提高安全很好的措施：

一、Web部署原则

1、如果Web应用对Internet开放，Web服务器应当置于DMZ区，在Web服务器与Internet之间，Web服务器与内网之间应当有防火墙隔离，并设置合理的策略。

2、如果Web应用对Internet开放，Web服务器应该部署在其专用的服务器上，应避免将数据库服务器或其他核心应用与Web服务器部署在同一台主机上（Web服务器比较容易被攻击，如果数据库或核心应用与Web服务器部署在同一台主机，一旦Web服务器被攻陷，那么数据库和核心应用也就被攻击者掌控了）。

3、如果Web应用系统存在不同的访问等级（如个人帐号使用、客户服务、管理），那么应该通过不同的Web服务器来处理来自不同访问等级的请求，而且Web应用应该鉴别请求是否来自正确的Web服务器(这样便于通过防火墙的访问控制策略和Web应用来控制不同访问等级的访问，比如通过防火墙策略控