(Authentication)和身份授权(Authorization)程序员经常对身份授权和身份验证之间的区别表示困惑.对这两个术语使用会增加它们的"朦胧感".区别:认证:验证用户是否是或者或至少看起来是...换句话说,身份验证是知道实体是谁,而授权是给定实体可以做什么.考虑到这一点,就探讨 10 种常见的互联网漏洞问题....----注入缺陷(Injection Flaws)注入缺陷是经典的由于过滤不受信任的输入的失败造成的.当我们将未过滤的数据传递到SQL服务器(SQL 注入)/浏览器(通过跨站脚本)/LDAP 服务器(LDAP...可能包含会话ID,并在referer头中泄漏密码可能在存储或传输过程中未加密会话ID可能是可扫描出来的,这使得获得未经授权的访问变的太容易了使用HTTP(没有使用SSL)等,则可能发生会话劫持预防使用成熟的框架编写代码...,则会发生这种情况.开发人员倾向于假设,由于服务器端生成页面,客户端将无法访问服务器未提供的功能.但是事情并没有那么简单,因为攻击者总是可以伪造对"隐藏"功能的请求.假设有一个面板,并且该按钮仅在用户实际上是管理员时才会显示