网络安全基础：开发者必须知道的安全常识

OWASP Top 10 安全风险

1. 注入攻击

# 危险：SQL 注入
cursor.execute(f"SELECT * FROM users WHERE id = {user_id}")

# 安全：参数化查询
cursor.execute("SELECT * FROM users WHERE id = ?", (user_id,))

2. 身份认证失效

• 使用强密码策略
• 实现多因素认证
• 会话超时机制

3. 敏感数据泄露

• 传输加密（HTTPS）
• 存储加密
• 不记录敏感信息

4. XXE 攻击

禁用 XML 外部实体解析。

5. 访问控制失效

• 最小权限原则
• 服务端权限校验

安全开发实践

1. 输入验证：所有输入都是不可信的
2. 输出编码：防止 XSS 攻击
3. 错误处理：不泄露系统信息
4. 日志审计：记录关键操作
5. 依赖更新：及时修复漏洞

安全工具

• SAST：静态代码分析
• DAST：动态安全测试
• SCA：依赖漏洞扫描

安全不是功能，是责任。从第一行代码开始重视安全！