20、常见Web安全漏洞的缓解策略与防护措施

常见Web安全漏洞的缓解策略与防护措施

1. 自定义错误页面与安全基线

使用自定义错误页面有助于提升安全性。默认的错误消息会暴露过多信息，如错误详情、使用的编程语言、堆栈跟踪、数据库类型、操作系统等。攻击者可利用这些信息了解应用程序的构建方式，查找已知漏洞并发起更有效的攻击。

在服务器及其应用程序和所有服务正确配置后，可制定安全基线，并将其应用于新配置或更新的服务器，以及当前正在运行的服务器。同时，需持续测试该配置基线，以不断改进并防范新发现的漏洞。

2. 防止跨站脚本攻击（XSS）

2.1 XSS 原理

当显示给用户的数据未正确编码，浏览器将其解释为脚本代码并执行时，就会发生 XSS 攻击。恶意代码通常通过输入变量插入。

2.2 预防措施

1. 避免直接使用用户输入构建输出：应用程序易受 XSS 攻击的一个迹象是页面会原样反射用户输入。因此，尽量不使用用户提供的信息构建输出文本。
2. 验证用户输入：当需要将用户提供的数据放入输出页面时，对数据进行验证，防止插入任何类型的代码。
3. 对特殊字符或代码片段进行处理：若允许用户输入特殊字符或代码片段，在插入输出前对文本进行清理或正确编码。
   • PHP 中的清理示例：

$email = "john(