在軟件、Web應用、App等程序都已經成為了企業的命脈。數據的安全一直都是企業最關心的問題。

今天給大家推薦的就是騰訊面向開發人員梳理的代碼安全指南，針對API層面的風險點并提出建議和解決方案。

安全指南使用場景

安全指南涵蓋非常全面，可以用于

1、日常編程參考

2、系統掃描策略

3、安全組件開發

4、安全漏洞的修復指南

安全指南分為以下級別

1、必須

2、建議

3、推薦

安全指南列表清單

1、C/C++安全指南

2、JavaScript安全指南

3、Node安全指南

4、Go安全指南

5、Java安全指南

6、Python安全指南

部分安全指南目錄截圖

使用安全指南

下面給大家舉例幾個常用安全指南。

a、【Java安全指南1】SQL語句默認使用預編譯并綁定變量

Web后臺系統應默認使用預編譯綁定變量的形式創建sql語句，保持查詢語句和數據相分離。以從本質上避免SQL注入風險。

如使用Mybatis作為持久層框架，應通過#{}語法進行參數綁定，MyBatis 會創建 PreparedStatement 參數占位符，并通過占位符安全地設置參數。

示例：JDBC

String custname = request.getParameter("name"); 
String query = "SELECT * FROM user_data WHERE user_name = ? ";PreparedStatement pstmt = connection.prepareStatement( query );pstmt.setString( 1, custname); 
ResultSet results = pstmt.executeQuery( );

Mybatis

<select id="queryRuleIdByApplicationId" parameterType="java.lang.String" resultType="java.lang.String">    
      select rule_id from scan_rule_sqlmap_tab where application_id=#{applicationId} 
</select>

應避免外部輸入未經過濾直接拼接到SQL語句中，或者通過Mybatis中的傳入語句（即使使用，語句直接拼接外部輸入也同樣有風險。例如中部分參數通過傳入SQL語句（即使使用PreparedStatement，SQL語句直接拼接外部輸入也同樣有風險。例如Mybatis中部分參數通過{}傳入SQL語句后實際執行時調用的是PreparedStatement.execute()，同樣存在注入風險）。

b、【Java安全指南2】文件類型限制

須在服務器端采用白名單方式對上傳或下載的文件類型、大小進行嚴格的限制。僅允許業務所需文件類型上傳，避免上傳.jsp、.jspx、.class、.java等可執行文件。參考示例：

String file_name=file.getOriginalFilename();
String[] parts=file_name.split("\.");
String suffix=parts[parts.length - 1];
switch (suffix){
      case "jpeg":
      				suffix=".jpeg";
      				break;
      case "jpg":
            suffix=".jpg";
            break;
      case "bmp":
            suffix=".bmp";
            break;
      case "png":
            suffix=".png";
            break;
      default:
            //handle error
            return "error";
}

【必須】禁止外部文件存儲于可執行目錄

禁止外部文件存儲于WEB容器的可執行目錄（appBase）。建議保存在專門的文件服務器中。

【建議】避免路徑拼接

文件目錄避免外部參數拼接。保存文件目錄建議后臺寫死并對文件名進行校驗（字符類型、長度）。建議文件保存時，將文件名替換為隨機字符串。

【必須】避免路徑穿越

如因業務需要不能滿足1.2.3的要求，文件路徑、文件命中拼接了不可行數據，需判斷請求文件名和文件路徑參數中是否存在../或..\(僅windows)， 如存在應判定路徑非法并拒絕請求。

c、【JavaScript安全指南1】【必須】HTML標簽操作，限定/過濾傳入變量值

使用innerHTML=、outerHTML=、document.write()、document.writeln()時，如變量值外部可控，應對特殊字符（&, <, >, ", '）做編碼轉義，或使用安全的DOM API替代，包括：innerText=

// 假設 params 為用戶輸入， text 為 DOM 節點
// bad：將不可信內容帶入HTML標簽操作
const { user }=params;
// ...
text.innerHTML=`Follow @${user}`;

// good: innerHTML操作前，對特殊字符編碼轉義
function htmlEncode(iStr) {
	let sStr=iStr;
	sStr=sStr.replace(/&/g, "&");
	sStr=sStr.replace(/>/g, ">");
	sStr=sStr.replace(/</g, "<");
	sStr=sStr.replace(/"/g, """);
	sStr=sStr.replace(/'/g, "'");
	return sStr;
}

let { user }=params;
user=htmlEncode(user);
// ...
text.innerHTML=`Follow @${user}`;

// good: 使用安全的DOM API替代innerHTML
const { user }=params;
// ...
text.innerText=`Follow @${user}`;

指南獲取

私信回復：1021