前端和服务端常用的安全策略

前端和服务端安全策略

前端安全策略：

1. 验证输入：对于所有从用户那里接收到的数据，都需要进行验证。例如，检查表单是否填写完整，是否输入了正确的格式，避免 SQL 注入等。

2. 防止跨站点脚本攻击（XSS）：通过对用户输入进行转义或过滤来防止 XSS 攻击。例如，使用 HTML 编码字符来替换 < 和 > 等特殊符号。

3. 防止跨站请求伪造（CSRF）：使用 CSRF Token 来防止 CSRF 攻击。Token 是一个随机生成的字符串，在每个请求中都必须包含该 Token。这样，当攻击者尝试发送假请求时，由于缺少正确的 Token，服务器会拒绝该请求。

4. 使用 HTTPS 协议：将网站传输协议升级为 HTTPS 可以保护数据传输过程中的隐私和安全性，防止数据被窃取或篡改。

5. 限制资源访问：限制前端页面可以访问的资源。例如，只允许访问特定域名下的资源，禁止访问其他域名下的资源。

服务端安全策略：

1. 验证输入：与前端一样，服务端也需要对接收到的数据进行验证。例如，过滤输入中的非法字符和 SQL 注入等安全问题。

2. 严格限制权限：使用最小特权原则，在授权时只给用户提供最低必要权限，以防止未经授权的访问、修改或删除数据。

3. 使用加密存储密码：在数据库中存储密码时，使用加密算法对其进行加密，以确保即使数据库被攻击，攻击者也无法轻易地获取用户的密码。

4. 处理异常情况：使用异常处理程序来捕获应用程序中的错误，并记录日志以便后续跟踪和分析。

5. 对敏感信息进行加密传输：对于敏感信息，例如信用卡号、密码等，传输过程中应该使用加密协议（例如 SSL/TLS）来确保数据的安全性。