通用安全编码规范.docxVIP

天翼电子商务有限公司信息技术部【】通用安全编码规范文档编号：BESTPAY-DMAQ-05 Version1.0必威体育官网网址申明本文档版权由天翼电子商务有限公司信息技术部所有。未经天翼电子商务有限公司信息技术部书面许可，任何单位和个人不得以任何形式摘抄、复制本文档的部分或全部，并以任何形式传播目录1目的42范围43规范概述44安全编码的原则55Web应用程序常见安全问题55.1跨站脚本攻击65.1.1定义65.1.2危害65.1.3解决方法75.2SQL注入95.2.1定义95.2.2危害105.2.3解决方法105.3恶意脚本执行115.3.1定义115.3.2危害125.3.3解决方法125.4文件上传漏洞125.4.1定义125.4.2危害125.4.3解决方案125.5传输敏感信息未使用安全通道135.5.1定义135.5.2危害135.5.3解决方案135.6信息泄漏和错误处理不当135.6.1定义135.6.2危害145.6.3解决方案145.7跨站请求伪造155.7.1定义155.7.2危害155.7.3代码示例155.7.4解决方案165.8访问控制缺陷175.8.1权限提升175.8.2不安全的直接对象引用185.9不安全的加密205.9.1定义205.9.2弱加密示例215.9.3解决方案215.10限制URL访问失效215.10.1定义215.10.2解决方案225.11Session管理225.11.1Cookie http only flag225.11.2Cookie Secure flag235.11.3Session Expires255.12日志和监测266Web应用程序安全编码要点266.1SOCKET网络安全编程要求266.2安全认证要求276.2.1图片验证码276.2.2短信验证码286.3加密方法及强度要求296.4输入验证316.4.1什么是输入316.4.2如何处理输入376.5输出编码426.5.1输出编码的种类426.5.2输出编码的必要性426.5.3安全输出编码方式427翼支付常用Web框架安全447.1Struts2：Action字段没有验证器（Action Filed Without Validator）447.1.1定义447.1.2危害447.2Struts2：有重复的Action字段验证器（Duplicate Action Field Validators）457.2.1定义457.2.2危害457.2.3示例457.3Struts2：重复的验证文件（Duplicate Validation Files）457.3.1定义457.3.2危害467.4Struts2：重复的验证器（Duplicate Validators）467.4.1定义467.4.2危害467.5Struts2：未声明验证器（Undeclared Validator）467.5.1定义467.5.2危害477.5.3示例477.6Struts2：未经验证的Action（Unvalidate Action）477.6.1定义477.6.2危害477.7Struts2：验证文件无对应的Action（Validation File Without Action）477.7.1定义477.8Struts2：验证器无Action 域（Validator Without Action Field）487.8.1定义487.9Spring MVC的不良做法：请求参数绑定持久对象（Spring MVC Practices：Request Parameters Bound into Persisted Objects）487.9.1定义487.9.2危害487.9.3示例：488附录498.1安全性测试_checklist498.2代码安全审计checklist49目的为保障天翼电子商务有限公司（以下简称“翼支付”）支付平台的安全性，构建安全健壮的程序，结合翼支付Web安全遇到的问题以及启明星辰安全研究实验室在Web攻防及代码安全的理论和实践积累，特制定本规范，旨在为翼支付开发团队提供设计及编写应用程序时普遍应该遵循的原则。为充分理解本规范内容，请：了解应用程序将会受到的威胁；理解必须考虑的威胁；在程序设计阶段考虑到这些威胁。范围本规范从应用安全开发的角度出发，结合翼支付平台系统的特点和常见的安全问题，给出支付平台应用系统安全开发的规范。供翼支付平台应用系统开发部门内部使用，适用翼支付平台应用系统项目开发的工作。本规范定义了翼支付平台应用系统安全开发和编码安全相关的技术要求。本规范主要提供设计应用程序时应该遵循的一些指南和原则。在应用程序易受攻击的重要环节应采用系统的方法。将重点放在程序部署、输入验证、身份验证和授权、