在应用外部边界或内部每个组件或功能边界,都将其当做潜在的恶意输入来校验
白名单 不可信数据可以设定白名单校验的,应接受所有和白名单匹配的数据,并阻止其他数据
黑名单 不可信数据中包含不良输入字符时,...验证码校验 禁止在响应中返回验证码,验证码校验应在服务端进行
密码管理 密码设置 密码设置时,应该满足8位及以上长度,含大小写字母、数字及特殊字符等的要求。...禁止错误回显 禁止系统开启 Debug模式或异常时返回包含敏感信息的提示,建议使用自定义的错误信息模板异常信息应存放在日志中用于安全审计
XSS注入 输入校验 对输入的数据进行过滤和转义,包含但不限于\...一旦出现异常,应该在日志中完整记录异常的发生时间、代码位置、报错详情、触发错误的可能用户等,重要系统的严重异常应该有报警的机制,及时通知系统运营者及时排查并修复题
自定义错误信息 在生产环境下,应用程序不应在其响应中返回任何系统生成的消息或其他调试信息...,配置应用服务器使其以自定义的方式处理无法处理的应用程序错误,返回自定义错误信息
隐藏用户信息 禁止在系统异常时泄露用户的隐私信息,典型的有:身份信息、个人住址、电话号码、银行账号、通讯记录、定位信息等