WEB访问安全策率

 

1.接防火墙，在防火墙层做拦截，流控策率：URL+IP，在60秒周期内，一个IP只能访问60次，超过60次，做流控，限制用户刷单。

2. 用户登录时长做控制，不允许永久登录，用户登录时长超过24小时，强制退出重新登录。（系统session失效会话周期是6小时，但黑客登录完之后，通过心跳机制每隔3分钟访问客服系统，导致黑客可持续在线）。

3.对顾客敏感信息增加查询条数限制，例如，对登录用户查询顾客限制100条查询，超过不允许查询。

4.增加黑名单，对周期内调用次数超过一定阈值加入黑名单。

5.在拦截器中对请求头信息增加referer校验，判断头文件referer对于的域名是否来自本系统，减少地址被盗用。