Web开发者安全速查表

正文

请到「今天看啥」查看全文

身份验证篇

1. 使用合适的加密算法（例如bcrypt）来计算并存储密码哈希，在初始加密时选择合适的随机数据，还有就是千万不要自己去写一个加密算法。

2. 使用简单但健壮的密码规则，以鼓励用户设置长度足够安全的随机密码。

3. 在服务的登录机制中引入多因素身份验证功能。

DoS保护篇

1. 确保那些针对API的DoS攻击不会严重影响你网站的正常运行，至少要限制API的请求访问速率。

2. 对用户所提交的数据和请求进行结构和大小的限制。

3. 使用类似CloudFlare这样的缓存代理服务来为你的Web应用添加DDoS缓解方案。

Web流量篇

1. 使用TLS，不只是你的登录表单和网站响应数据，而是你的整个网站都应该使用TLS。
   

2. Cookie必须为httpOnly。

3. 使用CSP（内容安全策略），虽然配置过程比较麻烦，但这觉得是值得的。

4. 在客户端响应中使用X-Frame-Option和X-XSS-Protection头。

5. 使用HSTS响应，使用HTTPS。

6. 在所有的表单中使用CSRF令牌。

请到「今天看啥」查看全文