网站seo优化越权防范

日期 : 2020-05-31 18:06:58
        越权防范。越权的威胁在于一个账户即可控制全站用户数据,当然这些数据仅限于存在漏洞功能对应的数据。越权漏洞的成因主要是因为开发人员在对数据进行增、删、改、查询时对客户端请求的数据过分相信而遗漏了权限的判定。针对越权漏洞产生的原因制定出响应的防范措施。
        (1)通过采用类似spring security等成熟的权限管理框架,规范系统的用户权限。
        (2)可以从用户的加密认证cookie中获取当前用户id,防止攻击者对其修改。或在session、cookie中加入不可预测的user信息。
        (3)每次页面访问时对用户权限进行验证,采用表单或其他参数提交用户进行访问操作的凭证时,应尽可能采用难以猜测的构造方式(增加字母及随机数字等)或采用复杂的加密算法加密后提交,在客户端和服务器端对提交的凭证或会话的权限进行验证。
        (4)对管理功能模块进行严格的权限验证,如非必要建议不对互联网开放或进行网络层的访问控制。

相关文章