问内部web应用程序的安全实践

EN

我是一个开发人员，正在开发一个基于web的内部应用程序，并且我被赋予了确保系统安全的责任。我在这方面没有经验，但我仍然希望尽我所能:我正在阅读OWASP的指南(http://surfnet.dl.sourceforge.net/project/owasp/Guide/2.0.1/OWASPGuide2.0.1.pdf)，但有很多信息需要处理，不幸的是，截止日期是最后期限。

这里的知识丰富的用户能不能请您在我的设计中戳一下洞，并告诉我哪里缺少我的理解？如果整个想法都有根本性的缺陷，知道这一点也是值得赞赏的。谢谢你的意见。

这个应用程序是在内部托管的，即使它是通过我们的无线网络访问的，也不应该在外部可见。不过，我相信我们的网络工程师能处理好这件事。

此应用程序的用户仅是此企业环境中所有员工的子集。此外，即使是授权用户也应该仅限于与他们相关的信息(这在很大程度上是应用程序级别的问题，但我希望确保不可能利用这些信息)。

内部Web应用程序的安全框架(由新手提供)

与web服务器的所有通信都是通过HTTPS连接完成的。

登录

1. 用户输入名称和密码，它们是HTTPS连接上的POSTed。
2. 如果名称和密码正确，则生成令牌，并将其存储在cookie中。还将cookie存储在数据库中，以供以后查找。令牌应该有一个到期日期，并且只与生成它的用户相关联。

请求

1. 检查所提供的令牌是否仍然有效(未过期)
2. 检查令牌对发出请求的用户是否有效。
3. 如果所有东西都签出了，再刷新令牌的有效性30分钟左右(大约)
4. 否则，拒绝访问。