Web安全开发编程规范.pptVIP

Web安全开发编程规范 XXX 2016.1 安全编码规范 输入输出安全规范 文件系统规范 数据库规范 随机数 网络系统规范 WEB技术规范 安全编码规范 1.需要集中处理输入验证 具体要求如下： 要求所有的输入使用一致的输入验证； 如果每个模块各自独立实现自己的输入验证，将会很难建立一个统一的输入验证策略。 需要对输入验证进行统一的升级和修改； 这样如果在输入验证逻辑里发现问题时就可以比较方便的修改。 要求进行统一的失败控制； 如果一个集中处理输入验证框架收不到不知道如何处理的输入，很容易就拒绝掉该输入；如果没有采取集中输入验证，开发者很容易忘记进行输入验证。 输入输出安全规范 2.必须验证所有的输入信息 必须对输入的信息进行验证。程序默认情况下就要对输入的信息进行验证，不能通过验证的数据将会被拒绝，以确保在输入验证之前，输入的数据不能进入程序代码中被执行。 3.使用可信任边界 当数据要从不可信的区域到可信区域的时候，需要使用验证逻辑进行判断。具体要求如下： 要求在程序中定义清晰的可信边界。 在一些代码中使用的保存可信数据的数据结构，不能被用来在其它代码中存储不可信数据。使数据穿越可欣边界的次数将到最低。 当程序混淆了可信和不可信的界限时会导致安全边界发生问题，把可信和不可信数据混合在一个数据结构里最容易导致这种错误的出现。 需要维护一个可信的边界。 不可信数据应该单