网站安全是互联网时代中一个至关重要的话题，随着网络攻击手段的不断演进，保护网站免受各种安全威胁变得越发重要。一个典型的网站由前端、网关和后端组成，它们通过 HTTP 或 WebSocket 进行交互。前端技术如 JavaScript、Vue、React 负责用户界面的展示，网关如 Nginx 负责请求的转发和负载均衡，后端技术如 Go、Java、Node.js 负责业务逻辑的处理。
安全漏洞的分类
安全漏洞可以分为服务端漏洞和客户端漏洞两大类。
服务端漏洞
第三方组件漏洞：现代 web 应用通常会依赖大量的第三方库和组件。这些组件如果存在漏洞，可能会被攻击者利用来攻击整个应用。对于 Java 项目，可以使用 dependency-check-maven 等工具来检查项目中使用的第三方组件是否存在已知的安全漏洞。
SQL注入：SQL注入是一种常见的安全漏洞，发生在应用程序的数据库层。攻击者通过在 SQL 语句中注入恶意 SQL 代码，欺骗数据库执行非法操作。防止 SQL 注入的措施包括：
- 使用预编译语句（Prepared Statements）来构造 SQL 语句。
- 使用 ORM 框架时，要注意框架的特性，确保它们是安全的。
- 在复杂场景下，如果必须使用拼接 SQL，需要对外部输入进行严格的转义处理。
命令执行：命令执行漏洞发生在应用程序执行外部命令时。防止命令执行的措施包括：
- 对动态值尽可能设置白名单，严格控制允许执行的命令。
- 若无法设置白名单，需要对数据类型进行校验。
- 使用特殊字符黑名单过滤，或者对特殊字符进行转义。
文件上传漏洞：文件上传漏洞发生在应用程序允许用户上传文件时。防止文件上传漏洞的措施包括：
- 限制文件类型，只允许上传安全的文件格式。
- 实现站库分离，将部署位置和上传文件分离，防止上传的文件被直接访问。
- 防止图床漏洞，确保上传的图片等文件不被恶意使用。
客户端漏洞
开放重定向：开放重定向漏洞发生在应用程序的重定向逻辑中。攻击者可以利用这个漏洞将用户重定向到恶意网站。防止开放重定向的措施包括：
- 对重定向进行严格的白名单控制，只允许重定向到特定的、预先定义好的 URL。
跨站脚本攻击（XSS）：XSS 漏洞发生在应用程序将用户输入的数据输出到 HTML 页面时，没有进行适当的过滤和转义。防止 XSS 的措施包括：
- 输入过滤：对用户输入的数据进行过滤，防止恶意脚本的注入。
- 输出过滤：对输出到页面的数据进行转义处理。
- 在富文本场景下，使用安全的富文本处理库。
- 使用内容安全策略（CSP）来限制页面可以加载和执行的资源。
跨站请求伪造（CSRF）：CSRF 漏洞发生在攻击者诱使用户在已登录的网站上执行非预期的操作。防止 CSRF 的措施包括：
- 使用 CSRF tokens，为每个请求添加一个随机 token 并进行验证。
- 使用 SameSite cookies，限制 cookie 的跨站请求。
- 基于 Referer 的验证，检查请求的来源是否合法。
点击劫持：点击劫持是一种视觉欺骗攻击，攻击者通过将一个透明的 iframe 覆盖在其他内容上，诱使用户点击。防止点击劫持的措施包括：
- 使用
X-Frame-Options响应头，告诉浏览器是否允许页面被 frame 嵌入。 - 使用 CSP 来限制页面的嵌入。
