被黑客袭击了 登录流程要怎么做才安全
发布时间：2022-08-26 11:08:58 所属栏目：安全 来源：互联网
导读：用户登录是系统中最重要的功能之一，登录成功就能拥有系统的相关使用权限。所以设计一个安全的登录流程是十分必要的。保护用户账号不被黑客窃取，既是在保护用户的基本利益，更是在保护网站的信誉和业务发展。 一定要注意防范 XSS、CSRF 攻击。攻击者通过在
|
用户登录是系统中最重要的功能之一，登录成功就能拥有系统的相关使用权限。所以设计一个安全的登录流程是十分必要的。保护用户账号不被黑客窃取，既是在保护用户的基本利益，更是在保护网站的信誉和业务发展。 一定要注意防范 XSS、CSRF 攻击。攻击者通过在目标网站上注入恶意脚本，可以在其他用户的浏览器上运行脚本。利用这些恶意脚本，攻击者可获取用户的敏感信息。用户提交的任何数据都要保持怀疑态度，不能完全信任，该过滤就过滤，该拦截就拦截。国内大型网站，比如淘宝也存在过 CSRF 漏洞，可见大家对这种攻击形式还比较陌生。 后台登录代码要注意防范 SQL 注入攻击。如果黑客提交 password or 1 = 1 而后台没做 SQL 防注入，只是查询下数据是否存在，有可能就攻击成功了。所以 or 1 = 1 有个响亮的名字，叫万能密码。恐怕大家在做大学作业的时候，都有这个漏洞吧。 登录成功后，返回的 cookie 要设置 httponly、secure，这样就无法通过 js 脚本获取 cookie，可以防止跨站攻击，增加爬虫程序的难度。cookie 有效期根据业务需求决定，尽量短一些。曾经我也做过爬虫，爬网银的时候就处理过很多这样的 cookie，比普通 cookie 复杂很多。 如果使用手机短信登录，一定要控制验证码的时效性，即验证码一次有效 5 分钟，一分钟内只能发送一次。有必要时可以单点登录，其他设备登录后，本设备自动失效。也可以使用第三方授权登录接口，如微信登录等，优化用户登录体验，安全性更好。 （编辑：应用网_丽江站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
浙公网安备 33038102330468号