保护Web应用程序

Question

可以采取哪些步骤来确保使用Hibernate，Spring和JSF的Web应用程序是安全的？可以存在哪些漏洞以及哪些安全框架是标准的？

Answer 1

仅使用框架无法解决安全问题。它需要大量的教育，理解，创造力和风险评估，以避免犯错误。

首先阅读这些网址

• http://www.owasp.org/index.php/Hibernate-Guidelines
• http://www.owasp.org/index.php/Java_Server_Faces
• http://www.owasp.org/index.php/OWASP_Java_Table_of_Contents

绝对能够快速掌握各种漏洞等。 安全性介绍，包括“无银弹”文章。

• http://www.owasp.org/index.php/Getting_Started
• http://www.owasp.org/index.php/OWASP_Top_Ten_Project列出了十大安全威胁

Answer 2

Joel Coehoorn和其他几个人通过回答类似问题here注意到了一系列良好的做法：

  

  
• 要消化很多，但OWASP开发指南涵盖了网站   安全从上到下
  
• 了解SQL注入以及如何防止它
  
• 永远不要相信用户输入（Cookie也算作用户输入！）
  
• 加密哈希和盐密码，而不是将其存储为纯文本。
  
• 不要试图想出你自己的花哨认证系统：就是这样   一件容易的事情 - 微妙的错误   和不可测试的方式，你不会   甚至知道它直到你之后   黑客攻击。
  
• 了解处理信用卡的规则。也看到这个问题：
  
• Payment Processors - What do I need to know if I want to accept credit cards on my website?
  
• 使用SSL / HTTPS登录以及输入敏感数据的任何页面   （如信用卡信息）
  
• 如何抵制会话劫持
  
• 避免跨站点脚本（XSS）
  
• 避免跨站点请求伪造（XSRF）
  
• 使用最新的补丁保持您的系统最新
  
• 确保您的数据库连接信息是安全的。
  
• 随时了解最新的攻击技巧和方法   影响你的漏洞   平台。
  
• 阅读Google浏览器安全手册
  

Answer 3

我同意其他回复，因为没有安全或简单框架的灵丹妙药，你只需插入和tada，你就可以启用安全性。查看OWASP网站，这是了解安全性的重要资源。

自己完全理解安全性（而不是将安全性委托给框架）最终会使您的应用程序更加安全。例如，默认情况下，JSF会阻止大多数（如果不是全部？）XSS类型的攻击，但您可以覆盖此功能，可能没有意识到安全隐患，并且突然暴露了您的JSF代码。

由于没人提到它，静态代码分析可以提供帮助。查看Findbugs，PMD和checkstyle等内容，进行基本和免费的代码分析。或者去寻找像Fortify这样专门设计用于检测应用程序中的安全漏洞的更重任务。