javascript - list - 通过身份验证确保 Web 应用程序安全

Question

只是为了确保我做好了功课，最好的办法就是让社区赞赏我的结果，希望它能帮助其他想知道如何保护他们的网站的人。

我正在基于 Express 框架使用 NodeJS 和 ReactJS 构建网站。我的数据库堆栈是 MongoDB 和 Mongoose。换句话说，现代 webapp 非常常见的堆栈。因此，我进行了一些研究，以了解为了保护我的 Web 应用程序需要防止哪些攻击。

这是我发现的款待:

• XRF > 同步器 token ，
• XSS > httpOnly cookies

• 中间人， session 劫持 > TLS/安全 cookie 标志

• 蛮力、时间攻击 > Bcrypt 慢速 CPU 核心时间哈希

• rainbow table > 加盐密码，意思是将用作附加输入的随机数据放入“散列”的单向函数

为了巩固安全措施，可以在服务器端做一些反验证——IP地址，位置，诸如此类。

其他款待，对于 webapp 来说意义不大，但我把它们放在这里是为了标记它们:

• 野兽
• 鱿鱼
• SSLStrip

我忘记了其他对我的 webapp 安全性非常重要的威胁？

任何提示都会很棒，谢谢。

Answer 1

OWASP Top 10 list是一本让您开始应用程序安全性的好书。

OWASP Cheat Sheet Series提供有关如何减轻威胁的深入细节。

您专门询问网站安全性。安全是一种分层方法，这意味着如果一层未能捕获安全漏洞，则希望下一层能够捕获它。可以公平地说，业界一致认为，强大的内容安全策略是您可以采取的保护您的网站免受 XSS 攻击的更重要的措施之一。

安全方面没有 Elixir 。