安全技术规范.pdfVIP

安全设计规范 (参考 ) 前端不能直接访问数据库，应采取三层架构（表现层、业务逻辑层、数据访问层） 通用 应不信任、不依赖客户端的安全控制措施，无论客户端采取何种措施，服务器侧都必 须对用户提交的数据进行合法性检测 通用 登录入口应具有防止暴力猜解及撞库猜解 （利用已泄漏的密码字典进行尝试） 的措施， 超过设定失败次数需要启用锁定或 CAPTCHA 图片随机码 通用 用户口令的主保护措施使用 SHA256/SHA512/SHA-3 或更高强度的散列算法，不使 用 MD5 或 SHA-1 通用 交易 /支付过程应形成完整的证据链，待交易数据应经过发起方数字签名 通用