我保护网络应用程序的计划：有漏洞吗？

Question

我为客户开发了一个CodeIgniter项目跟踪应用程序，该应用程序位于公共URL但私下使用。它包含一个简单的REST API，专门用于Dashboard小部件和Cocoa菜单栏应用程序，虽然它会在以后增长。

最初是为小型团队设计的，该应用程序将在（大型）公司内更广泛地使用。我计划成长并保护它......

1. 相应地评估流量需求，项目资源使用情况和扩展托管。
2. 完全依靠HTTPS并购买合适的SSL证书。
3. 要求对REST API进行身份验证。
4. 主动监控滥用情况并制定黑名单（或多个）。

是否有任何明显的问题需要解决，或者私人/公共应用程序需遵循哪些最佳做法？

Answer 1

这是一个相当广泛的问题。有几个复杂的方面。

SSL很好;考虑启用CI's CSFR protection

锁定您的服务器。如果您不需要它们，请关闭电子邮件和ftp等端口。 Google提供教程或根据您的操作系统提出具体问题。

基于表单的身份验证资料的精彩指南：The definitive guide to form-based website authentication

确保您的权限是您想要的。例如保密私人物品。设计用于授予和撤消访问权限的策略。