JavaWeb安全开发规范.docxVIP

Java Web安全开发规范目的保障WEB应用平台的安全性，保证WEB应用系统的可用性、完整性和必威体育官网网址性从安全角度规范WEB应用系统开发人员，能够让WEB应用开发者树立很强的安全意识，在开发过程中编写安全代码，进行安全编程。范围本规范从应用安全开发角度出发，给出WEB应用系统安全开发的规范。供软通动力内部使用，适用各个WEB应用系统项目开发的工作。本规范定义了WEB应用系统安全开发和WEB编码安全相关的技术要求。规范概述WEB应用系统为架构设计人员、开发人员提出了一系列复杂的安全问题。最安全、最有能力抵御攻击的Web应用程序是那些应用安全思想构建的应用程序。在设计初始阶段，应该使用可靠的安全体系结构和设计方法，同时要结合考虑应用程序的部署以及企业的安全策略。如果不能做到这一点，将导致在现有基础结构上部署应用程序时，要不可避免地危及网站系统的安全性。本规范提供初步的安全体系结构和设计指南，并按照常见的应用程序漏洞类别进行组织。这些指南是WEB应用程序安全的重要方面，并且是经常发生错误的领域。安全编码原则程序只实现你指定的功能永不要信任用户输入，对用户输入数据有效性检查必须考虑意外情况并进行处理不要试图在发现错误之后继续执行尽可能使用安全函数进行编程小心、认真、细致地编程软件编码安全输入校验WEB应用程序从各个方面获取输入，例如所有用户发送的，或者Web应用程序与用户交互往返的数据（用户提交的数据，cookie信息，查询字符串参数），以及后台数据（数据库、配置文件、其他数据来源）。所有输入的数据都会在某种情况下影响请求的处理。正确的输入验证是防御目前应用程序攻击的最有效方法之一。正确的输入验证是防止XSS、SQL注入、缓冲区溢出和其他输入攻击的有效对策。以下做法可以增强Web应用程序的输入验证：假定所有输入都是恶意的开始输入校验时，首先假定所有输入都是恶意的，除非有证据表明它们并无恶意，无论输入是来自服务、共享文件、用户还是数据库，只有其来源不在可信任的范围之内，就应对输入进行验证。集中方法将输入验证策略作为应用程序的核心元素。考虑集中式验证方法，例如通过使用共享库中的公共验证和筛选代码。这确保验证规则应用的一致性。此外还能减少开发工作量，并且有助于以后的维护工作。不要依赖客户端验证应使用服务器端代码执行其自身的验证，如果攻击者绕过客户端或者禁用客户端JavaScript脚本，后果如何？使用客户端验证可以减少客户端到服务器端的往返次数，但是不要依赖这种方法进行安全验证。注意标准化问题数据的标准形式是最标准、最简单的形式。标准化是指将数据转化为标准形式的过程。文件路径和URL尤其倾向于标准化问题。例如/www/public/testfile.jsp/www/public/../public/testfile.jsp/www/public///testfile.jsp%2fwww%2fpublic%2f%2f%2ftestfile.jsp都表示同一个文件。通常，应设法避免让应用程序接受用户输入的文件名，以防止标准化问题。可以考虑其他方式，例如由应用程序为用户确定文件名。如果确实需要用户输入文件名，在作出安全决策（如授予或拒绝特定文件的访问权限）之前应确保这些文件名具有严格定义的形式。限制输入定义应用程序字段可以接受的数据输入，并强制应用该定义，拒绝一切有害数据。验证数据的类型、长度、格式和范围在适当的地方对输入数据使用强类型检查，可以使用参数化的存储过程来访问数据。应该检查字符串字段的长度，在许多情况下还应检查字符串的格式是否正确，例如邮政编码、手机号码、身份证号码等都具有明确定义的格式，可以使用常规表达式进行验证。长度检查会加大攻击者实施其所喜欢的攻击方式的难度。拒绝已知的有害输入例如查询条件中禁止输入or 1=1等。净化输入净化包括从删除用户输入字符串后面的空格到去除值等一切行为。常见的净化输入示例是使用URL编码或者HTML编码来包装数据，并将其作为文本而不是可执行脚本来处理。输出编码输出编码是转换输入数据为输出格式的过程。输出格式不包含或者只是有选择性的包含允许的特殊字符。输出的重量有：支持HTML代码的输出不支持HTML代码的输出URL的输出页面内容的输入Js脚本的输出Style样式的输出Xml数据的输出服务空间的输出输出编码能有效的防止HTML注入（跨站脚本XSS攻击）等，也能确保输出内容的完整性和正确性。对于支持HTML代码的输出，输出前要确保代码中不含有跨站攻击脚本才能输出。通过编写过滤函数来进行强制过滤。对于不支持HTML代码的输出，在输出到页面前要进行HTML编码。对于URL的输出要对URL进行UrlEncode处理，要确保URL编码正确，不允许URL中输出引号。要确保内容输出中不包含特殊符号（单引号、双引号、/、等