Web开发安全之防御篇 | 青训营笔记
这是我参与「第五届青训营 」伴学笔记创作活动的的第13天。
本文将围绕着前端开发中网络编程的安全性展开，从开发工程师的角度需要考虑如何有针对性的防护。
XSS防御
-
输入验证：验证用户输入，以防止恶意代码注入。同时，不要直接将用户内容转为动态DOM，而是用String形式储存。
-
输出编码：对用户输入进行输出编码，以防止恶意代码被误解为有效的脚本。
-
设置HTTP头：使用HTTP头，例如“X-XSS-Protection”，告诉浏览器如何处理潜在的XSS攻击。
-
Content Security Policy（CSP）：使用CSP，指定哪些资源可以加载和执行，以防止恶意脚本的执行。
-
安全的API：使用安全的API，例如HTMLEscape，以保护应用程序免受XSS攻击。
CSRF安全防御
-
在请求中添加认证令牌：向请求添加一个唯一的认证令牌，以证明该请求是由受信任的用户发出的。
-
限制请求来源：限制请求的来源，以防止CSRF攻击。
-
使用HTTP Referrer：检查HTTP Referrer字段，以确保请求是从受信任的站点发出的。
-
使用SameSite cookie：使用SameSite cookie，以防止恶意站点访问Cookie并执行CSRF攻击。
-
使用验证码：在敏感操作中使用验证码，以确保操作是由受信任的用户发出的。
SQL注入防护
-
使用预处理语句：使用预处理语句，而不是拼接SQL字符串，以防止SQL注入。
-
参数化查询：使用参数化查询，以确保所有用户输入都被视为数据，而不是SQL代码。
-
限制用户权限：限制用户对数据库的访问权限，以防止攻击者利用SQL注入漏洞执行恶意操作。
-
数据库活动监控：对数据库活动进行监控，以检测SQL注入攻击。
防范DoS
-
容量规划：预先预测网站的最大流量，并确保服务器的容量足够支持。
-
限制请求数量：对于每个请求，设置请求限制以防止请求过多。
-
防火墙：使用防火墙以防止未经授权的请求。
-
负载平衡：使用负载平衡技术将请求平均分配到多台服务器上。
-
DDoS防护服务：使用DDoS防护服务，以防止攻击者对网站进行恶意攻击。
-
及时升级软件：及时升级操作系统和Web应用程序以防止已知漏洞的利用。
