保护Web应用程序

Question

可以采取哪些措施确保使用Hibernate，Spring和JSF的Web应用程序的安全性？什么样的漏洞可以存在，什么样的安全框架是标准的？

Answer 1

回答过类似的问题here一套良好的乔尔Coehoorn和其他几个指出做法：

• 这是一个很大的消化，但OWASP开发指南涵盖了网站从上 安全底部
• 知道的关于SQL注入以及如何防止它
• 决不相信用户输入（饼干算作用户输入过！）
• 加密哈希和盐密码而不是将它们存储为纯文本。
• 不要试图拿出自己看中的认证系统：它是这样 一件容易的事情让 - 错误的微妙 和不可测的方式，你不会 甚至不知道它，直到你 黑后。
• 了解处理信用卡的规则。看到这个问题还有：
• Payment Processors - What do I need to know if I want to accept credit cards on my website?
• 使用SSL/HTTPS的登录和敏感数据被输入 （如信用卡信息）的任何页面
• 如何抵御会话劫持
• 避免交叉站点脚本（ XSS）
• 避免交叉站点请求伪造（XSRF）
• 保持系统（S）最新与最新的补丁
• 确保您的数据库连接信息是安全的。
• 保持您的最新的攻击技术和 漏洞影响您的平台。
• 阅读谷歌浏览器安全手册

Answer 2

安全不解决只用了一个框架。它需要大量的教育，理解，创造力和风险评估才能避免犯错误。

开始通过阅读这些URL

• http://www.owasp.org/index.php/Hibernate-Guidelines
• http://www.owasp.org/index.php/Java_Server_Faces
• http://www.owasp.org/index.php/OWASP_Java_Table_of_Contents

，绝对达到顶部种漏洞等 介绍安全加速，包括“没有银弹”的文章。

• http://www.owasp.org/index.php/Getting_Started
• http://www.owasp.org/index.php/OWASP_Top_Ten_Project列出的十大安全威胁

Answer 3

我会在有安全或简单的框架，你只需插上和田田没有银弹其他答复同意，你启用了安全性。请检查OWASP网站，这是了解安全性的重要资源。

您自己完全理解安全性（而不是将安全委托给框架）最终将使您的应用程序更安全。例如，JSF默认可以阻止大多数（如果不是全部）XSS类型的攻击，但是您可以重写此功能，但可能没有意识到安全隐患，并突然暴露您的JSF代码。

由于没有人提及它，静态代码分析可以帮助。查看诸如Findbugs，PMD和checkstyle等基本代码分析和免费代码分析。或者去找更重的东西，比如Fortify，它专门用来检测应用程序中的安全漏洞。