java - 开源网络应用程序更容易被黑客攻击？

Question

在最近的一次采访中，有人问我:

开源 Web 应用程序(比如构建在 Struts/Spring 上)更容易受到黑客攻击，因为任何人都可以访问源代码并对其进行更改。如何预防？

我的回复是:

Java 源代码不可直接访问。它被编译成类文件，然后被捆绑在一个 war 文件中，并部署在一个安全的容器中，比如 Weblogic 应用程序服务器。应用服务器位于企业防火墙后面，无法直接访问。

当时 - 我没有提到任何关于 XSS 和 SQL 注入(inject)的事情，它们会影响类似于开源应用程序的基于 COTS 的 Web 应用程序。

我的问题:

a) 我对问题的回答是否正确？

b) 我可以在答案中添加哪些附加点？

提前致谢。

编辑:

虽然我在消化您的回复 - 让我也指出这个问题也是针对 Liferay 和 Apache OFBiz 等框架的。

Answer 1

这个问题是通过默默无闻的方式对安全性进行隐蔽的争论。我建议您阅读通常支持和反对的论点，看看它们是否相符:

• Security through obscurity ( Wikipedia )
• Hardening Wordpress
• SSH server security (Putty)

---

我个人的看法是，默默无闻充其量是抵御攻击的最薄弱一层。它可能有助于过滤掉由不知情的攻击者发起的自动攻击，但对坚决的攻击没有多大帮助。