web安全性考虑的几方面

2021-03-13 分类：网站建设

web安全性考虑的几方面

了解下面几个关键点对理解整个 web安全，甚至整个安全体系都有很大的帮助。我们希望大家的出发点更加贴近实际，有这几个关键点作为支撑，后续的一切将更加清晰明了。

1.数据与指令

用浏览器打开一个网站，呈现在我们面前的都是数据，有服务端存储的（如：数据库、内存、文件系统等）、客户端存储的（如：本地 Cookies、Flash Cookies 等）、传输中的（如：JSON 数据、XML 数据等），还有文本数据（如：HTML、JavaScript、CSS 等）、多媒体数据（如：Flash、MP3 等）、图片数据等。这些数据构成了我们看到的 Web 世界，它表面丰富多彩，背后却是暗流涌动。在数据流的每一个环节都可能出现安全风险。因为数据流有可能被“污染” ，而不像预期的那样存储或传输。

如何存储、传输并呈现出这些数据，这需要执行指令，可以这样理解：指令是要执行的命令。正是这些指令被解释执行，才产生对应的数据内容，而不同指令的解释执行，由对应的环境完成，比如：

eval(location.hash.substr(1));

</script>

这是一条简单的 SQL 查询指令，当这条指令被解释执行时，会产生一组数据，内容由 username/email/desc 构成，而解释的环境则为数据库引擎。

如果数据与指令之间能各司其职，那么 Web 世界非常太平了。可你见过太平盛世真正存在吗？当正常的数据内容被注入指令内容，在解释的过程中，如果注入的指令能够被独立执行，那么攻击发生了。

2.浏览器的同源策略

古代的楚河汉界明确规定了楚汉两军的活动界限，理应遵守，否则必天下大乱，而事实上天下曾大乱后又统一。这里我们不用管这些“分久必合，合久必分”的问题，关键是看到这里规定的“界限” 。Web 世界之所以能如此美好地呈现在我们面前，多亏了浏览器的功劳，不过浏览器不是一个花瓶——只负责呈现，它还制定了一些安全策略，这些安全策略有效地保障了用户计算机的本地安全与 Web安全。

注：计算机的本地与 Web是不同的层面，Web 世界（通常称为 Internet 域）运行在浏览器上，而被限制了直接进行本地数据（通常称为本地域）的读写。

同源策略是众多安全策略的一个，是 Web 层面上的策略，非常重要，如果少了同源策略，等于楚汉两军没了楚河汉界，这样天下大乱了。

同源策略规定：不同域的客户端脚本在没明确授权的情况下，不能读写对方的资源。

下面分析同源策略下的这个规定，其中有几个关键词：不同域、客户端脚本、授权、读写、资源。

（1）不同域或同域

同域要求两个站点同协议、同域名、同端口，比如：表 1-1 展示了表中所列站点与http://www.foo.com 是否同域的情况。