Web应用开发安全该怎么弄
发布网友
发布时间：2022-04-25 08:28
共1个回答
热心网友
时间：2023-11-09 04:44
对于密码、会话令牌等关键信息，需要进行加密后再保存到数据库，不允许用明文方式。一般采用MD5加密方式。
配置文件安全
程序中的配置文件（重点是数据库连接配置）需要重点进行安全保护，配置文件不能允许用户直接访问，配置文件的文件扩展名不能为.inc、.txt，必须为可执行脚本扩展名，如.asp、.php、.jsp、.aspx…
数据库安全
数据库文件需要重点安全保护，对于使用access数据库的程序，不可以允许数据库直接可以通过浏览器下载，数据库文件的路径和文件名称需要不易猜测到，数据库文件的扩展名不能为.mdb。可以设置服务器来禁止此类型的文件下载。
使用“最低权限”*数据库用户的权限。如果使用SQL SERVER或MySQL数据库，可以考虑只给浏览用户以读权限，后台用户以读、写及删权限。
资源的释放
程序中的使用了关键资源后，必须进行显式释放和关闭，尤其是数据库连接、文件句柄等资源。
防止过分详细的错误提示。
攻击者经常会故意输入错误的内容，进而分析系统给出的错误提示信息，从中获取系统信息，发现可能存在的漏洞。
热心网友
时间：2023-11-09 04:44
对于密码、会话令牌等关键信息，需要进行加密后再保存到数据库，不允许用明文方式。一般采用MD5加密方式。
配置文件安全
程序中的配置文件（重点是数据库连接配置）需要重点进行安全保护，配置文件不能允许用户直接访问，配置文件的文件扩展名不能为.inc、.txt，必须为可执行脚本扩展名，如.asp、.php、.jsp、.aspx…
数据库安全
数据库文件需要重点安全保护，对于使用access数据库的程序，不可以允许数据库直接可以通过浏览器下载，数据库文件的路径和文件名称需要不易猜测到，数据库文件的扩展名不能为.mdb。可以设置服务器来禁止此类型的文件下载。
使用“最低权限”*数据库用户的权限。如果使用SQL SERVER或MySQL数据库，可以考虑只给浏览用户以读权限，后台用户以读、写及删权限。
资源的释放
程序中的使用了关键资源后，必须进行显式释放和关闭，尤其是数据库连接、文件句柄等资源。
防止过分详细的错误提示。
攻击者经常会故意输入错误的内容，进而分析系统给出的错误提示信息，从中获取系统信息，发现可能存在的漏洞。
