java - 用于高度安全的Web应用程序的工具和技术

Closed. This question needs to be more focused。它当前不接受答案。

想要改善这个问题吗？更新问题，使它仅关注editing this post的一个问题。

5年前关闭。

Improve this question

我们正计划构建一个需要高度安全的Web应用程序，因为大量金钱和声誉受到威胁。因此，我正在寻找有助于实现这一目标的工具和技术。这些工具和技术应有助于防止SQL注入(inject)，跨站点脚本漏洞，远程代码执行等问题。

我们的团队对此类漏洞有扎实的知识。但是每个开发人员都会犯错误，而且简单的错误不应导致安全漏洞。 Web应用程序框架，应用程序服务器，编程语言，安全性库，代码分析器等应防止或检测到它们。

一个简单的示例:如果将数据插入HTML，则需要对其进行转义，以便正确显示数据并且不要将其误用于注入(inject)脚本。一些Web应用程序框架使开发人员承受了这种负担。如果他们忘记了一个地方的转义，就会遇到安全问题。一个好的工具不仅会自动进行转义，还会阻止开发人员强制执行转义。

我不是在寻找有关防火墙的建议(我们有一个不错的建议)，加强操作系统(这是计划的一部分)，使用加密通信(这是唯一的选择)和安全身份验证(将使用硬件 token )的建议。使用)。相反，建议应围绕应用程序服务器和要构建的Web应用程序软件进行。

我们也完全理解，编写安全软件不仅仅是技术:它涉及知识渊博的人员，管理人员的关注，时间和金钱以及软件质量流程。到目前为止，这不是问题，也不是这个问题的重点。

我应该提到，我们对Java和.NET有一定的偏见。

那么，您可以向我们推荐哪些工具和技术或其组合？

最佳答案

背景

您提到的所有漏洞都源于数据与控件(或代码，如果您愿意的话)之间的混淆。它们之所以在实践中出现，是因为许多编程语言和API都不具备对领域特定语言(例如SQL，HTML和系统 shell )的语义进行编码的能力。例如，几乎所有XSS漏洞都会发生，因为程序员会打印出未经过滤的字符串，并且编程语言或API没有足够的信息来检测该字符串是用户提交的，并且应该转义了其控制字符。幸运的是，有一些语言扩展和API可以将数据与控制分开，并且可以消除几乎所有这些攻击。

SQL注入(inject)

准备的语句。 Java的JDBC prepared statement实现是在SQL级别访问DBMS的事实上的标准。您可以使用变量编写SQL查询，然后指定这些变量的值及其类型，从而有效地为DBMS提供足够的信息来转义数据，同时不保留查询结构(控件)。

查询构建器。 而不是将查询指定为字符串，您可以将其表示为以构建器模式的方式逐步构建对象的方法调用序列。您可能会认为它是手动构建AST，然后将其序列化为查询字符串。 Robertson和Vigna撰写的paper说明了Haskell中的一些示例。

LINQ。 这是特定于.NET的。查询实际上是语言的一部分，因此解析器可以区分查询关键字和数据。再次，这允许语言仅安全地转义数据。由于缺乏对LINQ的经验，我不能说太多了，但是大概是将数据值包装在SqlParameter对象中，然后将其转义。

ORM框架。 在SQL注入(inject)之上，ORM框架旨在抽象掉大多数DBMS详细信息，包括查询本身。他们可以在后台使用准备好的语句，甚至可以公开类似准备语句的API，以便更直接地访问数据库(例如，Hibernate的SQLQuery)。

跨站点脚本(XSS)

从本质上讲，防止XSS攻击的技术与针对SQL注入(inject)的防御类似。仅这次，目标是Web浏览器而不是数据库。无论哪种方式，我们都不希望将数据错误地解释为控制。

模板。 大多数流行的模板语言似乎都针对PHP，Python或Ruby。但是，那里有一些for Java和for .NET。模板通常由HTML和占位符组成，以传递数据。然后，您将数据传递到模板引擎中，将其全部转义，然后呈现模板，其中占位符替换为已清理的数据。

DOM树构建器。 与SQL查询构建器类似，您可以使用类似DOM的API构造页面以创建新的元素和文本节点，并最后将它们序列化为HTML字符串。值得争议的是，标准DOM API太冗长，以致于这种方法不可行。

XML文字。 与LINQ一样，XML文字是语言的 native 部分，允许解析器将标记与数据区分开。虽然Java和C#都不支持XML文字，但是Scala does和so does VB9。 Facebook有一个名为XHP的开源PHP扩展，它还提供了软件工程上的许多好处，包括组件重用以及能够为自定义标签指定内容模型。

启发式和检测。 这不是一个可靠的防御措施，但是某些系统检查HTML输出并猜测是否嵌入了恶意脚本。但是，正如人们使用IE8所发现的，这可以是enable attacks。

仅HTTP cookie。 这是，而不是，它是对XSS的防御，但是它可以防止相当多的攻击。当服务器设置cookie时，可以将其标记为HTTP-only，这意味着支持的浏览器将不允许页面上的JavaScript访问该cookie。因此，即使攻击者能够在您的网站上嵌入恶意脚本，只要他们拥有相当现代的浏览器(甚至包括IE6 +)，他们也将无法窃取用户的Cookie。

远程执行代码

关于这个主题，我没有什么要说的，但是请尽量减少类似于system()的调用。如果必须调用其他二进制文件，则应采取良好的安全措施，例如在可能的情况下使用白名单，并在适当的情况下使用经过严格审查的清理功能。某些API(例如Python的Popen)可以很好地确保不会将参数视为shell控制字符。最后，对于Java和C#，缓冲区溢出漏洞利用的可能性很小。这不是正式的保证，但是数十亿美元的公司始终在运行Java服务器。

最佳实践

最终，无论是创建SQL查询还是构建HTML页面，您都应该考虑使用针对手头任务设计的API或语言功能。这些语言和API不仅增加了您对安全性的信心，而且它们通常还可以促进编程。与传统的串联一串字符串的策略相比，我们现在有了LINQ和XML文字，可以说使代码更易于编写，易于阅读和验证。我是语言增强功能和API的拥护者，这些功能可以同时提高代码质量和程序员的工作效率!

关于java - 用于高度安全的Web应用程序的工具和技术，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/3793296/

上一篇：java - 二维数组问题Java

下一篇：java - 使用 Guava 的最佳方式

相关文章：

java - Spark 使用 Java 流式传输一个日志文件不会生成任何输出

java - Java 中字符串的 == 运算符和 .equals 如何相同？

使用按位异或的 Java 字符串比较

.net - 在 F# 中编码(marshal)具有 `char` 数组字段的结构数组

.net - 使用 Reg Z 附录 J 计算年利率

c# - HttpError 和 IHttpActionResult

c# - ASP.NET Core 2.0 类库中 Microsoft.AspNet.WebApi.Client 的替代方案

java - 在每次迭代中设置不同的变量名称

c# - 打印页面而不显示它？

c# - 很棒的 ASP.NET 和 C# 初学者教程