web-applications - 在线安全 Web 应用程序

Question

我有一个网络应用程序，它喜欢在线托管。用户登录包含一个散列密码，该密码保存在数据库中并通过代码进行验证，简单但对于拥有现场服务器的小型办公室来说是可以的。

但是，当应用程序在线托管时，我认为这不合适。我考虑过手动列出 apache 中的客户端 IP 地址以阻止来自其他机器的访问。

我还能做些什么来确保访问安全？证书可以吗？

Answer 1

“用户登录由散列密码组成”是什么意思？您是否在 session cookie 中使用散列密码？好吧，无论如何，以下几点可以帮助您入门:

仅使用 HTTPS(具有有效证书)

不要使用共享主机(如果必须，请使用 VPS)

将密码的加盐哈希存储在您的数据库中

如果数据库不在本地主机上，则仅使用加密连接

使用安全且真正随机的 session ID

使您在服务器上的 session 无效/过期

如果满足您的需要，您可以考虑使用客户端证书

注意 XSS、XSRF 和类似漏洞

仅对更改任何状态或数据的任何内容使用 POST 请求

在 POST 参数中使用随机 token 来改变任何状态或数据

不要只依赖 cookie

如果可能，请使用 DNSSEC

这些只是一些很好的经验法则，可以帮助您入门。