网络安全基础指南

为什么开发者需要懂安全？

安全漏洞可能导致数据泄露、服务中断、法律责任。每个开发者都应有基本安全意识。

常见安全威胁

1. SQL 注入

# ❌ 危险
cursor.execute(f"SELECT * FROM users WHERE name = "{name}"")

# ✅ 安全
cursor.execute("SELECT * FROM users WHERE name = ?", (name,))

2. XSS 跨站脚本

// ❌ 危险
document.innerHTML = userInput;

// ✅ 安全
document.textContent = userInput;

3. CSRF 跨站请求伪造

# 使用 CSRF Token
from flask_wtf.csrf import CSRFProtect
csrf = CSRFProtect(app)

4. 密码安全

# ❌ 危险
password = "plain_text_password"

# ✅ 安全
import bcrypt
hashed = bcrypt.hashpw(password.encode(), bcrypt.gensalt())

安全最佳实践

输入验证

from validate_email import validate_email

if not validate_email(user_email):
    raise ValueError("Invalid email")

认证授权

• 使用 JWT 或 OAuth2
• 密码最小长度 12 位
• 启用双因素认证
• 定期轮换密钥

数据保护

• 敏感数据加密存储
• 使用 HTTPS
• 不记录敏感信息
• 定期备份

依赖管理

# 检查漏洞
npm audit
pip-audit
safety check

安全清单

• 所有输入都验证
• 使用参数化查询
• 输出转义
• 启用 HTTPS
• 密码哈希存储
• 限制登录尝试
• 定期更新依赖
• 日志不记录敏感信息

安全无小事，防患于未然！