河北省住建和城乡建设厅网站搜索引擎推广案例

修复方案：阻止敏感信息泄露给用户（通用方法）

当应用程序错误、调试信息或系统详情直接暴露给用户时，可能导致信息泄露风险（如数据库结构、服务器路径、API密钥等）。以下是标准化修复方案，适用于主流开发语言和框架。

---

1. 关闭前端错误显示

（1）PHP（Apache/Nginx）

修改 php.ini 配置文件：

display_errors = Off          ; 禁止前端显示错误
log_errors = On              ; 启用错误日志
error_log = /var/log/php_errors.log  ; 指定日志路径

动态代码设置（适用于无法修改php.ini的情况）：

ini_set('display_errors', '0');  // 关闭错误显示
error_reporting(E_ALL);          // 记录所有错误到日志

（2）Python（Django/Flask）

Django（生产环境配置）

# settings.py
DEBUG = False  # 必须关闭调试模式
ALLOWED_HOSTS = ['yourdomain.com']  # 限制合法域名# 自定义500错误页面
handler500 = 'myapp.views.custom_error_500'

Flask

app = Flask(__name__)
app.config['DEBUG'] = False  # 关闭调试模式# 将错误记录到文件
import logging
logging.basicConfig(filename='/var/log/flask_errors.log', level=logging.ERROR)

（3）Node.js（Express）

// 生产环境关闭错误堆栈输出
app.use((err, req, res, next) => {console.error(err.stack);  // 记录到服务器日志res.status(500).send('Internal Server Error');  // 返回通用错误页
});// 禁止显示框架标识（如Express）
app.disable('x-powered-by');

（4）Java（Spring Boot）

# application.yml
server:error:include-stacktrace: never  # 不返回堆栈信息path: /error               # 自定义错误页路径logging:file:name: /var/log/spring.log

---

2. 自定义友好错误页面

（1）Nginx/Apache 统一错误页

Nginx 配置：

error_page 500 502 503 504 /50x.html;
location = /50x.html {root /usr/share/nginx/html;internal;  # 防止直接访问
}

Apache 配置：

ErrorDocument 500 /50x.html

（2）框架级自定义错误页

Django 示例

# views.py
def custom_error_500(request):return render(request, '500.html', status=500)# urls.py
handler500 = 'myapp.views.custom_error_500'

Flask 示例

@app.errorhandler(500)
def handle_500(error):return render_template('500.html'), 500

---

3. 验证修复是否生效

（1）测试错误触发

• 预期行为：
  • 访问非法路径（如 http://example.com/非法路径）应返回自定义的 404.html 或 500.html，无代码堆栈或服务器信息。
  • 故意触发数据库错误时，前端应显示通用提示，详细信息写入日志。

（2）检查日志记录

# 查看日志内容
tail -f /var/log/php_errors.log  # PHP
cat /var/log/flask_errors.log    # Python

日志示例输出：

[2023-01-01 12:00:00] ERROR: Database query failed in /app/models/db.py:42

---

4. 高级防护措施

（1）Web 应用防火墙（WAF）

• Cloudflare：启用 Security → WAF 规则拦截敏感信息泄露。
• ModSecurity：配置规则过滤错误响应中的敏感数据。

（2）安全响应头

添加以下HTTP头阻止浏览器缓存错误页：

add_header X-Content-Type-Options "nosniff";
add_header Cache-Control "no-store";

（3）监控与告警

• 使用 Sentry 或 ELK Stack 集中监控错误日志。
• 对频繁出现的错误（如数据库连接失败）设置告警。

---

5. 各语言完整代码示例

语言	关键配置
PHP	ini_set('display_errors', 0); error_log('/path/to/log');
Python	DEBUG=False + logging.basicConfig(filename='/path/to/log')
Node.js	app.disable('x-powered-by'); + 自定义500中间件
Java	server.error.include-stacktrace=never + logging.file.name=/path/to/log

---

📌 总结

1. 立即修复：关闭 display_errors/DEBUG，启用日志记录。
2. 用户体验：自定义友好错误页（如 50x.html）。
3. 长期防护：部署WAF、监控日志、设置安全头。

修复后，攻击者无法通过错误信息获取系统内部细节，同时用户仍能获得清晰反馈！ 🔒