应用程序开发：使用第三方代码是否安全？

问：我正在学习如何独立编程。在过去的9个月里，我自学了Microsoft Access 2007 VBA，并为我所在的公司开发了一些功能强大的数据库应用程序。现在，我正准备转向Microsoft Visual Studio开发环境，并对其中的C#和VB.NET深感兴趣。我想请教一下关于盒装软件中通常包含多个文件的问题。我知道许多DLL文件以及其他文件需要保留配置信息，但这些文件是如何创建的？这些文件是编程环境自动创建的，还是在设计和编程过程中开发人员手动创建的？使用第三方代码创建应用程序是否存在安全隐患？

答：在开发应用程序时，有两种代码需要确保是安全的：你自己编写的代码和来自第三方的代码。安全的含义是指代码中不包含可被用于破坏其处理的应用程序或数据的漏洞。从你提出的问题来看，你在学习如何开发应用程序方面已经取得了很大的进步。而我要强调的是，你是否在安全地编写代码，即正确地使用安全性功能编写能够抵御攻击的代码。尽管互联网上解释如何为一个应用程序添加花里胡哨的功能的示例和教程汗牛充栋，但介绍如何确保这些花里胡哨的功能不使应用程序容易受到攻击的内容却凤毛麟角。

我强烈建议你花时间访问OWASP（Open Web Application Security Project，开放式Web应用程序安全项目）的网站。虽然OWASP主要关注基于Web的应用程序的安全性，但是其网站还包含了许多与任何类型的应用程序有关的安全性内容。OWASP还提供了一个OWASP.NET项目，致力于为使用Microsoft .NET Framework的软件开发专业人员提供一个相关信息和工具的中央资料库。另一个值得阅读的内容是微软的《安全编码指南》。

尽管编程涵盖众多主题，乍一看卷帙浩繁，但你只需要关注其中所涉及的安全性问题，这一点非常重要。微软MSDN库中的“安全性”页面以及其中“编写安全的代码”部分，是介绍如何增强代码安全性的一份优秀资源。另外，你可能感兴趣的还有微软软件安全专家Michael Howard编写的多本著作，包括《编写安全的代码（Writing Secure Code）》、《软件安全的24宗罪——编程缺陷与修复之道（24 Deadly Sins of Software Security）》和《软件安全开发生命周期（The Security Development Lifecycle）》。如果你从这些资源开始你的学习之旅，那么你很快就可以编写出健壮且能够抵御攻击的应用程序。

当然，软件开发人员希望尽可能快地开发应用程序。为了加快软件开发的速度，大多数开发人员会使用其他人编写的代码，并使其适应自己的目的。只要能够理解并检查使用的所有第三方代码，而不是仅仅将其粘贴到自己的应用程序中，这种做法当然无可厚非。加快软件开发速度的另一条捷径是使用其他开发人员编写的库或模块，例如拼写检查程序或图表制作工具。这些库或模块通常是以DLL文件的形式提供，你需要将其随着你的应用程序一起发布。毫无疑问，使用这样的第三方组件存在安全隐患。

那么，怎么知道一个第三方组件是否包含恶意代码或已被攻击者篡改呢？你当然不该从不可信的来源下载组件用于自己的应用程序。我不会使用任何不公开源代码的组件，除非该组件是由著名供应商提供的。如果一个应用程序在建立时就已遭到破坏，那么它可以执行的恶意行为将不受任何限制。正是因为如此，金融业中以前过度使用可重用组件或依赖第三方开发人员开发软件的许多公司，现在开始全面检查所有这些组件，以查找可能存在的后门或恶意代码。

最后，关于你的应用程序运行时需要访问的众多DLL文件，编译器将会自动创建或添加。去年，一个病毒通过感染Delphi库中的组件攻击了Delphi的代码编译器。然后，在编译过程中，病毒又感染了其他程序，将已编译的代码变成了一个病毒传递系统。这一安全事件表明，只使用正版授权的编译器并确保开发环境的安全至关重要。用于开发你的应用程序的计算机应该是一次性使用的。同时，既要保护其物理安全，又要利用防病毒软件和防恶意软件的程序保护其逻辑安全。祝你取得更大的进步。

【编辑推荐】