web安全性考慮的幾方面

2021-03-13 分類：網(wǎng)站建設(shè)

web安全性考慮的幾方面

了解下面幾個關(guān)鍵點對理解整個 web安全，甚至整個安全體系都有很大的幫助。我們希望大家的出發(fā)點更加貼近實際，有這幾個關(guān)鍵點作為支撐，后續(xù)的一切將更加清晰明了。

1.數(shù)據(jù)與指令

用瀏覽器打開一個網(wǎng)站，呈現(xiàn)在我們面前的都是數(shù)據(jù)，有服務(wù)端存儲的（如：數(shù)據(jù)庫、內(nèi)存、文件系統(tǒng)等）、客戶端存儲的（如：本地 Cookies、Flash Cookies 等）、傳輸中的（如：JSON 數(shù)據(jù)、XML 數(shù)據(jù)等），還有文本數(shù)據(jù)（如：HTML、JavaScript、CSS 等）、多媒體數(shù)據(jù)（如：Flash、MP3 等）、圖片數(shù)據(jù)等。這些數(shù)據(jù)構(gòu)成了我們看到的 Web 世界，它表面豐富多彩，背后卻是暗流涌動。在數(shù)據(jù)流的每一個環(huán)節(jié)都可能出現(xiàn)安全風(fēng)險。因為數(shù)據(jù)流有可能被“污染” ，而不像預(yù)期的那樣存儲或傳輸。

如何存儲、傳輸并呈現(xiàn)出這些數(shù)據(jù)，這需要執(zhí)行指令，可以這樣理解：指令是要執(zhí)行的命令。正是這些指令被解釋執(zhí)行，才產(chǎn)生對應(yīng)的數(shù)據(jù)內(nèi)容，而不同指令的解釋執(zhí)行，由對應(yīng)的環(huán)境完成，比如：

標簽內(nèi)的是一句 JavaScript 指令，由瀏覽器的 JS 引擎來解釋執(zhí)行，解釋的結(jié)果是數(shù)據(jù)。而本身卻是 HTML 指令（俗稱 HTML 標簽），由瀏覽器 DOM 引擎進行渲染執(zhí)行。

這是一條簡單的 SQL 查詢指令，當(dāng)這條指令被解釋執(zhí)行時，會產(chǎn)生一組數(shù)據(jù)，內(nèi)容由 username/email/desc 構(gòu)成，而解釋的環(huán)境則為數(shù)據(jù)庫引擎。

如果數(shù)據(jù)與指令之間能各司其職，那么 Web 世界非常太平了?？赡阋娺^太平盛世真正存在嗎？當(dāng)正常的數(shù)據(jù)內(nèi)容被注入指令內(nèi)容，在解釋的過程中，如果注入的指令能夠被獨立執(zhí)行，那么攻擊發(fā)生了。

2.瀏覽器的同源策略

古代的楚河漢界明確規(guī)定了楚漢兩軍的活動界限，理應(yīng)遵守，否則必天下大亂，而事實上天下曾大亂后又統(tǒng)一。這里我們不用管這些“分久必合，合久必分”的問題，關(guān)鍵是看到這里規(guī)定的“界限” 。Web 世界之所以能如此美好地呈現(xiàn)在我們面前，多虧了瀏覽器的功勞，不過瀏覽器不是一個花瓶——只負責(zé)呈現(xiàn)，它還制定了一些安全策略，這些安全策略有效地保障了用戶計算機的本地安全與 Web安全。

注：計算機的本地與 Web是不同的層面，Web 世界（通常稱為 Internet 域）運行在瀏覽器上，而被限制了直接進行本地數(shù)據(jù)（通常稱為本地域）的讀寫。

同源策略是眾多安全策略的一個，是 Web 層面上的策略，非常重要，如果少了同源策略，等于楚漢兩軍沒了楚河漢界，這樣天下大亂了。

同源策略規(guī)定：不同域的客戶端腳本在沒明確授權(quán)的情況下，不能讀寫對方的資源。

下面分析同源策略下的這個規(guī)定，其中有幾個關(guān)鍵詞：不同域、客戶端腳本、授權(quán)、讀寫、資源。

（1）不同域或同域

同域要求兩個站點同協(xié)議、同域名、同端口，比如：表 1-1 展示了表中所列站點與http://www.foo.com 是否同域的情況。

從表 1-1 中的對比情況可以看出，我們通常所說的兩個站點同域是指它們同源。

（2）客戶端腳本

客戶端腳本主要指 JavaScript （各個瀏覽器原生態(tài)支持的腳本語言）、 ActionScript （Flash的腳本語言），以及 JavaScript 與 ActionScript 都遵循的 ECMAScript 腳本標準。

Flash 提供通信接口，使得這兩個腳本語言可以很方便地互相通信?？蛻舳说墓魩缀醵际腔谶@兩個腳本語言進行的，當(dāng)然 JavaScript 是最廣泛的。

被打入“冷宮”的客戶端腳本有 VBScript，由于該腳本語言相對較孤立，又有當(dāng)紅的JavaScript 存在，所以實在是沒有繼續(xù)存在的必要。

（3）讀寫權(quán)限

Web 上的資源有很多，有的只有讀權(quán)限，有的同時擁有讀和寫的權(quán)限。比如：HTTP請求頭里的 Referer（表示請求來源）只可讀，而 document.cookie 則具備讀寫權(quán)限。這樣的

（4）資源

資源是一個很廣泛的概念，只要是數(shù)據(jù)，都可以認為是資源。同源策略里的資源是指Web 客戶端的資源。一般來說，資源包括：HTTP 消息頭、整個 DOM 樹、瀏覽器存儲（如：Cookies、Flash Cookies、localStorage 等） ?？蛻舳税踩{都是圍繞這些資源進行的。

3.信任與信任關(guān)系

其實web安全的攻防都是圍繞“信任”進行的。前面提到的同源策略也是信任的一種表現(xiàn)，默認情況下，不同源則不信任，即不存在什么信任關(guān)系，這都是出于安全的考慮。

網(wǎng)頁名稱：web安全性考慮的幾方面
分享URL：http://jinyejixie.com/news/105123.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供外貿(mào)網(wǎng)站建設(shè)、企業(yè)建站、網(wǎng)站制作、網(wǎng)站策劃、電子商務(wù)、營銷型網(wǎng)站建設(shè)

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時需注明來源：創(chuàng)新互聯(lián)

猜你還喜歡下面的內(nèi)容

URI和URL的區(qū)別 2021-03-13
服務(wù)器租用qq7459652這家真的好嗎？ 2021-03-13
常見的Web負載均衡方法 2021-03-13
視頻服務(wù)器價格 2021-03-13
為何這么多人在搜索框中輸入“www.baidu.com”？ 2021-03-13
百兆獨享與百兆共享之間有什么區(qū)別 2021-03-13
Web服務(wù)器是什么？常用的WEB服務(wù)器有哪些？ 2021-03-13
獨立ip主機有什么好處，企業(yè)為什么要選擇它？ 2021-03-13

成人午夜视频全免费观看高清-秋霞福利视频一区二区三区-国产精品久久久久电影小说-亚洲不卡区三一区三区一区

web安全性考慮的幾方面