目录
一、OWASP十大WEB弱点防护守则
二、防护守则
1、权限控制失效
2、加密失误
3、注入
4、不安全设计
5、安全配置缺陷
6、易受攻击和过时的组件
7、身份认证和会话管理失效
8、缺乏完整性校验
9、缺乏监控与日志记录
10、服务端请求伪造
三、核心防护原则总结
一、OWASP十大WEB弱点防护守则
OWASP Top 10 是目前全球最权威、最具影响力的Web应用安全风险清单，由开放Web应用安全项目（OWASP）定期更新（2021版）。
| 排名 | 风险名称 | 简述 |
|---|---|---|
| A01 | Broken Access Control | 权限控制失效，导致用户可以访问未授权的数据或功能。 |
| A02 | Cryptographic Failures | 加密失误，如未加密敏感数据或使用不安全的算法（旧称“敏感数据泄露”）。 |
| A03 | Injection | 注入，包括 SQL、NoSQL、命令注入等，攻击者通过恶意输入操控后端。 |
| A04 | Insecure Design | 不安全设计，应用本身的设计缺陷，未考虑安全机制。 |
| A05 | Security Misconfiguration | 安全配置缺陷，配置错误或默认设置未更改，导致系统暴露。 |
| A06 | Vulnerable and Outdated Components | 易受攻击和过时的组件，使用了已知漏洞的软件组件，如库、框架。 |
| A07 | Identification and Authentication Failures | 身份认证和会话管理失效，身份验证机制不当，如弱密码、暴力破解。 |
| A08 | Software and Data Integrity Failures | 缺乏完整性校验，例如更新过程未验证签名。 |
| A09 | Security Logging and Monitoring Failures | 缺乏监控与日志记录，无法及时响应攻击。 |
| A10 | Server-Side Request Forgery (SSRF) | 服务端请求伪造，服务器被诱导请求外部资源，可能造成内网信息泄露。 |
二、防护守则
1、权限控制失效
-
强制实施最小权限原则： 默认拒绝所有访问，明确授予每个用户/角色执行其任务所需的最小权限。
-
集中化访问控制检查： 在服务器端使用统一的、经过严格测试的授权机制（如RBAC, ABAC），避免在客户端进行关键权限判断。
-
禁用目录列表： 确保Web服务器不会列出目录内容。
-
记录和监控访问失败： 记录失败的授权尝试并设置告警（尤其是管理员操作）。
-
API速率限制： 防止暴力破解和数据枚举。
-
强制所有权检查： 对访问对象（如文件、数据库记录）的操作前，必须验证当前用户是否拥有该对象（
/users/{id}中验证{id}属于当前用户）。 -
唯一、不可预测的访问令牌： 使用JWT时设置短有效期，注销时使其失效。
2、加密失误
-
敏感数据加密： 对传输中的敏感数据（密码、个人信息、支付信息、健康数据等）强制使用强TLS（最新版如TLS 1.3），对存储的敏感数据使用强加密算法（如AES-256）和安全的密钥管理（HSM/KMS）。
-
禁用旧协议/弱算法： 禁用SSL、早期TLS版本、弱密码套件（如RC4, DES, MD5, SHA1）。
-
使用强哈希存储密码： 使用自适应哈希算法（如Argon2id, scrypt, bcrypt, PBKDF2）并加盐。
-
禁止缓存敏感数据： 在HTTP响应头设置
Cache-Control: no-store。 -
最小化数据收集和存储： 只收集和存储业务绝对必需的敏感数据，及时删除不再需要的数据。
-
避免在代码/配置中硬编码密钥： 使用安全的密钥管理系统。
3、注入
-
使用安全的API： 优先使用提供自动参数化或安全对象关系映射（ORM）的API。绝对禁止拼接查询/命令。
-
参数化化查询： 对SQL、NoSQL、OS命令、LDAP查询等所有解释型语句，使用参数化查询（预编译语句）或存储过程。
-
输入验证与输出编码： 对不受信任的输入进行严格的、基于白名单的验证（类型、长度、格式、范围）。在将数据输出到不同上下文（HTML, JavaScript, CSS, URL, SQL）时，使用上下文相关的输出编码。
-
使用ORM框架的安全方法： 避免使用可能引入注入的拼接方法。
-
LIMIT 防止大规模数据泄露： 在SQL查询中使用LIMIT等子句限制返回行数。
4、不安全设计
-
威胁建模： 在设计和开发生命周期早期（SDLC）进行威胁建模，识别潜在威胁并设计安全控制措施。
-
安全设计模式： 采用成熟的安全设计模式和原则（如深度防御、最小权限、失效安全）。
-
安全需求定义： 明确定义安全需求（如认证、授权、审计、加密、输入验证）。
-
参考架构和安全控制库： 使用经过验证的安全参考架构和可重用的安全组件。
-
安全编码标准与培训： 制定并强制执行安全编码标准，对开发人员进行安全培训。
-
滥用案例建模： 考虑攻击者可能如何滥用应用功能，并设计相应的防护。
5、安全配置缺陷
-
最小化安装： 移除不必要的功能、组件、文档、示例和未使用的账户。
-
加固配置： 为操作系统、框架、库、应用程序设置安全、强化的配置（关闭调试模式、禁用管理接口、设置安全HTTP头如CSP, HSTS, X-Content-Type-Options等）。
-
自动化配置管理： 使用自动化工具（IaC如Terraform, Ansible）确保开发、测试、生产环境配置一致且安全。避免使用默认凭据。
-
及时更新和打补丁： 建立流程，及时更新和修补操作系统、框架、依赖库和应用程序。
-
分离组件： 将不同安全级别的组件部署在隔离的网络分段或容器中。
-
安全扫描： 定期进行配置审计和安全扫描。
6、易受攻击和过时的组件
-
组件清单管理： 维护所有客户端和服务器端组件（框架、库、模块）及其版本的准确清单（使用SCA工具）。
-
持续监控漏洞： 订阅安全通告（CVE），使用软件成分分析（SCA）工具持续监控组件漏洞。
-
及时更新/打补丁： 仅从官方渠道获取组件，在评估风险后及时应用安全补丁或升级到安全版本。优先考虑有活跃维护的组件。
-
移除无用/过时组件： 清理不再使用的依赖项。
-
安全许可： 在引入新组件前进行安全评估和许可。
7、身份认证和会话管理失效
-
实施强认证： 支持多因素认证（MFA），尤其是关键操作和高权限账户。防止弱密码（使用密码策略、密码强度检查器、阻止常见密码）。
-
安全的会话管理： 使用服务器端生成的、长且随机的会话ID，通过安全Cookie传输（
Secure,HttpOnly,SameSite属性），设置合理的会话超时（空闲和绝对超时）。 -
安全的密码管理： 使用强哈希存储密码（见A02），安全地处理密码重置/忘记流程（避免知识问答、发送明文密码），提供安全的密码更改功能。
-
防止凭证填充/暴力破解： 实施账户锁定或递增延迟机制，记录失败尝试并监控。对登录尝试进行速率限制。
-
统一错误消息： 登录、注册、密码找回等环节使用统一的模糊错误消息（如“用户名或密码错误”），避免枚举攻击。
8、缺乏完整性校验
-
代码/配置完整性验证： 使用数字签名验证软件来源和完整性（如代码签名、容器镜像签名）。确保CI/CD管道安全，防止未授权修改。
-
依赖来源可信： 只从官方、受信任的源获取依赖项和插件。验证其签名或哈希值。
-
反序列化安全： 避免使用包含远程代码执行功能的危险反序列化器。如必须使用，实施严格的输入验证、类型限制（白名单）和沙箱隔离。
-
CI/CD安全： 保护构建管道，确保代码仓库、构建服务器的访问控制和安全配置。
-
关键数据完整性保护： 对关键配置或数据使用数字签名或MAC（消息认证码）验证其未被篡改。
9、缺乏监控与日志记录
-
记录关键安全事件： 确保记录登录（成功/失败）、访问控制失败、输入验证失败、系统错误、关键操作（如密码修改、权限变更）、API调用等。
-
日志包含足够上下文： 日志条目应包含时间戳、源IP、用户标识、事件描述、操作结果等，便于调查。
-
集中化日志管理： 将日志发送到受保护的、集中的日志管理系统（如SIEM），防止本地篡改或丢失。
-
实时监控与告警： 建立实时监控机制，对可疑活动（如大量登录失败、异常数据访问模式）设置告警阈值，确保告警能被及时响应。
-
定期审计与测试： 定期审计日志配置和内容，进行渗透测试验证监控的有效性。
-
保护日志数据： 确保日志存储的安全性和完整性，控制对日志的访问权限。
10、服务端请求伪造
-
输入验证与过滤： 对用户提供的URL或主机名/IP进行严格的基于白名单的验证和过滤。避免直接使用用户输入构造请求。
-
网络层控制： 实施网络分段，将后端应用部署在隔离网络（DMZ），限制其只能访问必要的内部资源。使用防火墙策略限制应用服务器出站连接的目标地址和端口。
-
应用层控制： 使用应用层代理或具有严格目标限制的API网关来转发请求。
-
禁用非必要URL Schema： 仅允许
http/https，禁用file,ftp,gopher,dict等危险schema。 -
验证响应： 不要将原始响应直接返回给客户端，检查响应内容是否合法。
-
使用受信解析库： 避免直接使用底层网络库处理用户输入。
三、核心防护原则总结
-
纵深防御： 在多个层面实施安全控制。
-
最小权限： 只授予完成任务所必需的最小权限。
-
默认安全： 默认配置应是最安全的。
-
永不信任用户输入： 对所有输入进行严格验证、过滤和输出编码。
-
保持简单： 减少攻击面（移除不必要的功能、组件）。
-
持续更新： 及时打补丁和升级。
-
安全开发生命周期： 将安全融入设计、开发、测试、部署、运维全过程（DevSecOps）。
-
监控与响应： 具备检测、响应和恢复能力。
