26、系统安全：客户端、服务器与数据库的全面防护

系统安全：客户端、服务器与数据库的全面防护

1. 客户端系统安全

1.1 客户端攻击概述

客户端存在的漏洞会使用户、其数据以及系统面临被破坏和泄露的风险。客户端攻击是指任何能够对客户端造成损害的攻击。通常在讨论攻击时，大家往往认为主要目标是服务器或服务器端组件，但客户端攻击的目标则是客户端本身或客户端上的进程。例如，恶意网站将恶意移动代码（如小程序）传输到客户端上易受攻击的浏览器，就是常见的客户端攻击方式。而且，客户端攻击可以通过任何通信协议进行，并非局限于超文本传输协议（HTTP）。

1.2 小程序相关安全

1.2.1 小程序的定义与作用

小程序是从服务器发送到客户端执行某些操作的代码对象，与从用户系统发送到远程系统查询和处理数据的代理功能相反。它是独立的小型程序，可独立于发送它的服务器执行。如今，虽然小程序的使用不如2010年代初普遍，但大多数浏览器仍支持它们。以提供金融工具的网站为例，远程服务器可能会向本地系统发送一个小程序，让客户端自己进行诸如抵押贷款计算等操作，这样做有诸多好处：
- 减轻服务器处理负担，使其能处理更多用户请求。
- 客户端可利用本地资源生成数据，响应输入数据变化更快。
- 若小程序编程正确，服务器不会接收小程序的输入数据，保障用户财务数据的安全和隐私。

1.2.2 小程序的安全隐患

然而，小程序也带来了安全问题。它允许远程系统向本地系统发送代码执行，安全管理员需确保网络中接收的代码安全，经过恶意活动筛查。由于难以逐行分析代码，用户无法确定小程序是否包含特洛伊木马组件。例如，抵押贷款计算器可能在用户不知情的情况下将敏感财务信息传输