为什么不向用户显示错误消息和系统规格？

Question

有时候我在我的某个网站上，并且遇到了一个数据库错误，它只会将自己抛到一个公开可见的页面上。我快点把它清理干净，修复不属于它的错误，并在它属于时创建自定义错误。我被告知无数次不允许用户查看错误消息并试图避免泄露系统规格。不过，我似乎忘记了原因。为什么这么重要？

Answer 1

因为baddee对系统架构的了解越多，他们就越容易定制攻击以获取访问权限，将其删除等等。

Answer 2

简短的回答是，攻击者拥有的信息越多，他们就越有可能以某种方式破坏网站。

例如，如果数据库错误中包含表名或列名，则攻击者现在知道在SQL注入攻击中要尝试的内容。

https://www.owasp.org/index.php/Top_10_2007-Information_Leakage_and_Improper_Error_Handling

Owasp对这个问题有很好的待遇。上面的链接很旧但仍然有效。总的来说，我建议OWASP作为一个很好的资源，不仅要了解什么是好的安全实践，还要了解它们为什么是好的。

Answer 3

1. 因为用户也可能是破解者/黑客。
2. 它吓到用户看到很多奇怪的文字/代码=＆gt;用户不友好。

但主要原因是黑客获取了您的系统知识。