阿里规范 - 四、安全规约

时间：2020-03-08 21:10:40 阅读：93 评论：0 收藏：0 [点我收藏+]

4. 【强制】用户请求传入的任何参数必须做有效性验证。

说明：忽略参数校验可能导致：

? page size 过大导致内存溢出

? 恶意 order by 导致数据库慢查询

? 任意重定向

? SQL 注入

? 反序列化注入

? 正则输入源串拒绝服务 ReDoS

说明：Java 代码用正则来验证客户端的输入，有些正则写法验证普通用户输入没有问题，但是如果攻

击人员使用的是特殊构造的字符串来验证，有可能导致死循环的结果。

//Java反序列化漏洞分析 https://blog.csdn.net/jameson_/article/details/80137016

//(OWASP汉化)攻击系列大全(五十一)：正则表达式拒绝服务（ReDoS) https://www.andseclab.com/2018/04/19/owasp%E6%B1%89%E5%8C%96%E6%94%BB%E5%87%BB%E7%B3%BB%E5%88%97%E5%A4%A7%E5%85%A8%E4%BA%94%E5%8D%81%E4%B8%80%EF%BC%9A%E6%AD%A3%E5%88%99%E8%A1%A8%E8%BE%BE%E5%BC%8F%E6%8B%92%E7%BB%9D%E6%9C%8D%E5%8A%A1/

6. 【强制】表单、AJAX 提交必须执行 CSRF 安全验证。

说明：CSRF(Cross-site request forgery)跨站请求伪造是一类常见编程漏洞。对于存在 CSRF 漏洞的应用

/网站，攻击者可以事先构造好 URL，只要受害者用户一访问，后台便在用户不知情的情况下对数据库中

用户参数进行相应修改。

//todo 进一步熟悉危害公司项目是否有做相应的防御

//Web安全之CSRF漏洞整理总结

https://www.cnblogs.com/-qing-/p/11015075.html

阿里规范 - 四、安全规约

原文：https://www.cnblogs.com/light-train-union/p/12444301.html

踩

(0)

评论一句话评论（0）

分享档案

更多>

2021年09月23日 (328)
2021年09月24日 (313)
2021年09月17日 (191)
2021年09月15日 (369)
2021年09月16日 (411)
2021年09月13日 (439)
2021年09月11日 (398)
2021年09月12日 (393)
2021年09月10日 (160)
2021年09月08日 (222)