Web应用程序安全的良好指南？

Question

我非常擅长制作网络应用程序，而且我知道如何与客户端/服务器等进行数据传输。我需要一些帮助，尽管学习如何使数据交换更安全。这就是为什么我觉得有点害怕发布我制作的任何网络应用程序的原因。我想知道什么是一些很好的指南，以帮助您了解和学习如何使用您的Web应用程序保护数据传输？比如更好的身份验证和更好的登录等事情。

您可以发布任何建议，但仅仅是为了您的信息，我主要使用Javascript和PHP对我的网络应用进行编码。另外，我使用JSON或XML传输数据。

非常感谢

Answer 1

OWASP有很多关于主题Web应用程序安全性的指南，示例项目和测试应用程序。

我个人最喜欢的是backend security project，我曾经向我的经理证明我们的内部系统需要大量关注，并且仅仅因为后端安全性不是用户感知的好处，并不意味着它可以被忽略。

This project特别为数据验证，错误处理，加密等提供了一些很好的建议。

Answer 2

在创建网站的许多方面都有很棒的post here，包括安全性。这是最佳答案的摘录，可能有所帮助。

• 要消化很多，但OWASP development guide从上到下涵盖了网站的安全性
  • 了解SQL injection以及如何预防
  • 永远不要相信用户输入（Cookie也是用户输入！）
  • 加密哈希和盐密码，而不是将其存储为纯文本。
  • 不要试图想出你自己的花哨认证系统：以微妙和不可测试的方式弄错也是如此容易，直到你被黑了之后你才会知道它。
  • 了解rules for processing credit cards.（See this question as well）
  • 使用SSL / HTTPS登录以及输入敏感数据的任何页面（如信用卡信息）
  • 如何抵制会话劫持
  • 避免cross site scripting (XSS)
  • 避免cross site request forgeries (XSRF)
  • 使用最新的补丁保持您的系统最新
  • 确保您的数据库连接信息是安全的。
  • 随时了解影响平台的最新攻击技巧和漏洞。
  • 阅读The Google Browser Security Handbook
  • 阅读The Web Application Hackers Handbook

Answer 3

如果你想在php应用程序中更多地了解安全性，我认为这本书是一个很好的起点。 http://phpsecurity.org/

您可以考虑在网络应用程序中添加IDS。我可以推荐PHPIDS

Answer 4

Google's Doctype是一个（非常糟糕的名称）“面向Web应用程序开发人员的开放式百科全书和参考库”，它有一个很好的介绍性section on Web Security，专注于XSS。鉴于通用标题“Web安全”，它可以从覆盖更多问题中受益，例如CSRF，但它在XSS攻击向量的覆盖范围内相当全面。您是否知道IE can be tricked在应该是用户上传的图像中执行JavaScript？

Answer 5

<强>使用Javascript：

这可能是一个非常有趣的视频： http://www.youtube.com/watch?v=eL5o4PFuxTY

不要对登录名和密码发疯。专业懒惰 - 知道你在做什么！ JSON非常适合数据传输，在我看来，XML需要很多开销。

使用JSON.parse永远不要使用eval。

<强> PHP

始终使用mysql_real_escape_string或mysqli_escape_string。 在显示用户输入之前使用htmlspecialchars或在保存用户输入之前使用strip_tags。永远不要相信来自用户/浏览器的任何内容。