内部web应用程序的安全实践
我是一个开发人员，正在开发一个基于web的内部应用程序，并且我被赋予了确保系统安全的责任。我在这方面没有经验，但我仍然希望尽我所能:我正在阅读OWASP的指南(http://surfnet.dl.sourceforge.net/project/owasp/Guide/2.0.1/OWASPGuide2.0.1.pdf)，但有很多信息需要处理，不幸的是，截止日期是最后期限。
这里的知识丰富的用户能不能请您在我的设计中戳一下洞，并告诉我哪里缺少我的理解？如果整个想法都有根本性的缺陷，知道这一点也是值得赞赏的。谢谢你的意见。
这个应用程序是在内部托管的，即使它是通过我们的无线网络访问的，也不应该在外部可见。不过，我相信我们的网络工程师能处理好这件事。
此应用程序的用户仅是此企业环境中所有员工的子集。此外，即使是授权用户也应该仅限于与他们相关的信息(这在很大程度上是应用程序级别的问题，但我希望确保不可能利用这些信息)。
内部Web应用程序的安全框架(由新手提供)
与web服务器的所有通信都是通过HTTPS连接完成的。
登录
- 用户输入名称和密码，它们是HTTPS连接上的POSTed。
- 如果名称和密码正确，则生成令牌，并将其存储在cookie中。还将cookie存储在数据库中，以供以后查找。令牌应该有一个到期日期，并且只与生成它的用户相关联。
请求
- 检查所提供的令牌是否仍然有效(未过期)
- 检查令牌对发出请求的用户是否有效。
- 如果所有东西都签出了，再刷新令牌的有效性30分钟左右(大约)
- 否则，拒绝访问。
回答 3
Stack Overflow用户
发布于 2011-01-11 18:45:25
听起来不错。
令牌可以是有符号的过期日期(用存储在服务器上的私钥签名)，也可以是存储在数据库中的加密安全随机字节序列。
除非令牌是特定于IP地址的，否则一切都必须通过SSL来完成。
除了身份验证之外，还需要注意SQL注入、CSRF、XSS和其他安全漏洞。
Stack Overflow用户
发布于 2011-01-11 18:44:32
重要的考虑因素:整个会话必须通过SSL。火柴已经非常清楚地证明，能够嗅到cookie(通过与受害者在同一个网络上)使您的用户有可能遭到会话劫持。
安全不仅仅是登录。您可能想了解一下SQL注入和跨站点脚本攻击，至少(这是针对web应用程序的两种最常见的攻击)。
Stack Overflow用户
发布于 2011-01-11 18:49:11
查看CSRF攻击。他们绕过饼干检查和公司防火墙。
https://stackoverflow.com/questions/4661334
复制相似问题
腾讯云开发者
