软件/网站安全需要以及解决方法
软件/网站安全需要以及解决方法
安全等级划分
- 一级保护：
- 对象：个人或小型网站、博客、简单展示站。
- 要求：系统被破坏后，只影响用户自己，不影响社会秩序。
- 特点：备案即可，要求最低。
- 二级保护（最常见）：
- 对象：大部分企业官网、电商平台、论坛、App、普通 SaaS 系统。
- 要求：系统被破坏后，会影响一定数量用户或社会秩序，需要采取完善的安全措施。
- 特点：企业上线系统，几乎都要做到二级。
- 三级保护：
- 对象：涉及 大量个人信息、金融、医疗、电信、能源、交通、政府政务系统。
- 要求：系统被破坏后，可能严重损害社会秩序、公共利益。
- 特点：需要公安机关检测、审查，要求严格（如容灾备份、日志留存半年+，强身份认证）。
- 四级保护：
- 对象：涉及国家安全的关键信息基础设施。
- 例如：国防、央行、国家电网。
- 五级保护：
- 对象：最高级别，系统被攻击会严重危害国家安全。
- 例如：军队、国家核心系统。
网站/软件安全标准与解决方法
1. 网络传输安全
风险：数据在传输过程中被窃听或篡改。
标准：所有数据传输必须加密。
解决方法：
- 强制使用 HTTPS / TLS 1.2+（关闭 HTTP 明文，重定向到 HTTPS）。
- 证书选择正规 CA（如 Let’s Encrypt、DigiCert）。
- 关键接口增加 签名 / 时间戳 防止重放攻击。
2. 身份认证与账号安全
风险：弱密码、撞库攻击、会话劫持。
标准：用户认证必须安全、可靠。
解决方法：
- 密码复杂度要求（长度 ≥ 8，包含字母、数字、特殊符号）。
- 登录失败次数限制（如 5 次锁定账户 10 分钟）。
- 密码存储必须使用 强哈希算法（bcrypt、argon2、PBKDF2），加盐。
- 建议支持 双因素认证（2FA/MFA）。
- 会话使用 JWT / Session + HttpOnly + Secure Cookie。
3. 授权与权限控制
风险：越权访问、水平越权（访问别人数据）、垂直越权（低权限访问高权限功能）。
标准：严格的访问控制策略。
解决方法：
- 基于角色的权限控制（RBAC）。
- 后端必须进行权限校验（不能只依赖前端）。
- 敏感操作（删除、支付）需二次确认。
4. 输入验证与防注入攻击
风险：SQL 注入、XSS、命令注入。
标准：所有输入必须验证和转义。
解决方法：
- SQL 注入 → 使用 ORM / 预编译语句（MyBatis、Hibernate），禁止拼接 SQL。
- XSS 攻击 → 输出到 HTML 前进行转义（Vue/React 默认安全绑定，注意 v-html、dangerouslySetInnerHTML）。
- 文件上传 → 检查文件类型、大小，存储时更改文件名。
5. CSRF（跨站请求伪造）
风险：用户被诱导点击恶意链接，执行非授权操作。
标准：关键请求必须验证来源。
解决方法：
- 使用 CSRF Token（表单/请求头携带随机 Token）。
- 校验请求头 Origin 或 Referer。
- 对重要操作（如转账、修改密码）增加验证码/二次确认。
6. 敏感数据保护
风险：数据库泄露，导致用户隐私外泄。
标准：敏感数据必须加密存储/传输。
解决方法：
- 密码用 哈希存储，禁止明文存储。
- 银行卡号、身份证号等敏感数据用 AES 对称加密 存库。
- 后端日志中禁止打印用户敏感数据（如密码、身份证号）。
- 访问数据库需最小权限原则（只开放必要的 SELECT/INSERT/UPDATE）。
7. 日志与安全审计
风险：攻击行为无法追踪。
标准：系统必须可追溯。
解决方法：
- 登录失败、密码修改、权限变更等行为写入日志。
- 日志不可被篡改，必要时写入独立日志服务器。
- 定期审查日志，结合 ELK / Graylog / SIEM 监控告警。
8. 漏洞管理与更新
风险：已知漏洞被攻击利用。
标准：保持依赖库和框架更新。
解决方法：
- 使用 npm audit / mvn dependency-check 定期扫描依赖。
- 及时应用安全补丁（如 Spring Boot、Vue、Nginx、MySQL）。
- 渗透测试 / 安全扫描（OWASP ZAP、Burp Suite）。
9. 合规与隐私保护
风险：不符合国家/地区法规，导致法律风险。
标准：遵守本地法规。
解决方法：
- GDPR / PIPL → 明确告知数据用途，支持用户数据删除。
- 等保 2.0（中国） → 至少达到二级保护（大部分互联网系统要求）。
- 金融行业 → 符合 PCI-DSS（信用卡支付）。
总结（Checklist）
上线前，网站/软件至少要做到：
✅ 全站 HTTPS 利用keytool实现https协议（生成自签名证书）_keytool工具生成自签名的证书-CSDN博客
✅ 密码强哈希存储（bcrypt/argon2）（数据加盐数据加盐处理（密码加盐）-CSDN博客）
✅ 防 SQL 注入（预编译）（使用现在框架MyBatis等）
✅ 防 XSS（输出转义）Web之防XSS（跨站脚本攻击）-CSDN博客
✅ 防 CSRF（Token/Referer 校验）（JWT令牌JWT令牌-CSDN博客）
✅ 登录防爆破（锁定机制）
✅ 敏感数据加密传输（AES + 密钥管理AES+RSA 实现混合加密_aes 、rsa加密数据-CSDN博客
✅ 角色/权限控制（RBAC）（路由守卫Vue实现路由守卫-CSDN博客）
✅ 日志审计与监控
✅ 定期安全扫描与漏洞修复