Web 安全基础：OWASP Top 10 防护指南

1. 注入攻击 (Injection)

SQL 注入

// ❌ 危险
const query = `SELECT * FROM users WHERE id = ${userId}`;

// ✅ 安全 - 使用参数化查询
const query = "SELECT * FROM users WHERE id = ?";
db.execute(query, [userId]);

命令注入

// ❌ 危险
exec(`cat ${userInput}`);

// ✅ 安全 - 验证输入
if (!/^[a-zA-Z0-9]+$/.test(userInput)) throw Error();
execFile("cat", [userInput]);

2. 失效的身份认证

• 实施多因素认证（MFA）
• 密码强度要求
• 会话超时机制
• 登录失败限制

3. 敏感数据泄露

// ✅ 加密存储
const hashed = await bcrypt.hash(password, 12);

// ✅ 传输加密
// 强制使用 HTTPS
// 使用 TLS 1.3

4. XML 外部实体 (XXE)

// ❌ 危险
parseXML(userInput);

// ✅ 安全 - 禁用外部实体
const parser = new XMLParser({
  allowExternalEntities: false
});

5. 失效的访问控制

• 服务端验证权限
• 最小权限原则
• 默认拒绝策略

6. 安全配置错误

• 移除默认账户
• 关闭不必要的服务
• 定期更新依赖
• 隐藏错误详情

7. 跨站脚本 (XSS)

// ❌ 危险
element.innerHTML = userInput;

// ✅ 安全 - 转义输出
element.textContent = userInput;

// 或使用 CSP
// Content-Security-Policy: default-src "self"

8. 不安全的反序列化

• 避免反序列化用户输入
• 实施完整性检查
• 隔离运行环境

9. 使用含已知漏洞的组件

# 定期扫描
npm audit
snyk test

10. 日志和监控不足

• 记录安全事件
• 实时监控告警
• 定期审计日志

安全是持续过程，不是一次性工作。