WEB应用安全设计思想 续

安全问题的讨论中，我们已经向大家介绍了访问控制的安全设计核心和信任关系的划分问题，本文将继续向大家介绍。

数据与代码分离的思想是安全设计的原则

最典型的体现数据与代码分离思想的是模板系统。

比如velocity，在渲染html的时候，程序员可以写vm模板，一些静态写死的内容就是代码，而通过变量，经过渲染才最终展现的内容则称之为数据。一个典型的例子如下：

-code--------------------------------------------
test
-------------------------------------------------

代码与数据如果没有分离，就会导致代码混乱，数据变成代码的一部分去执行。比较常见的例子就是PHP里的SQL写法：

-code----------------------------------------------------
$sql = "SELECT * FROM article WHERE articleid='".$_GET[id]."'";  
---------------------------------------------------------  

如果参数 id 中带有单引号，就会闭合掉代码中的单引号，从而导致数据变成代码执行。
所以这个注射的本质问题还是没有做好数据与代码的分离。

比较好的做法是如下java代码中的使用变量绑定，很好的做到了代码与数据分离

-code----------------------------------------------------  
 
String sql="Insert into table VALUES(?,?)";  
List values = new ArrayList();  
values.add(Integer.toString(id));  
values.add(operator);  
try{  
executeStatement(sql, values);  
result=true;  
}catch(Exception e){  
e.printStackTrace();  
}  
---------------------------------------------------------  
 

但是并不是说使用了模板系统就一定分离了数据与代码。

因为在类似“render”或者是“transform”的过程中，往往存在一个将数据进行规范化的过程。这个过程也可能出现问题，从而导致代码可以混淆数据进行执行。

比较好的做法是，数据中不能包含有在代码中存在语义的字符。

参考如下例子：

-code----------------------------------------------------  
Set-Cookie: name=id\r\nP3P: xxxxxxxxxxxxxx\r\n  
--------------------------------------------------------- 

红字部分是用户的输入。

在HTTP的标准中，冒号“：”，等号“=”，换行符CRLF“\r\n”，百分号“%”等字符都是有具体的语义的，属于代码部分。所以正常的用户数据中不应该包含有这些字符。

如果出于需求一定要包含怎么办？按照标准将这些字符全部encode。

在HTTP标准中可以使用urlencode，比如等号就变成了“%3d”。

这样就做到了代码与数据的分离。

代码与数据分离原则的本质还是体现了安全问题是信任问题这一思想。

代码是否应该信任数据，或者说代码应该信任怎样的数据，是这个原则的本质。

在应用中，比较好的例子是json、XSLT，这些方法都比较好的做到了数据与代码分离，所以在开发中多使用这些比较好的方法，无形中就提高了安全性。

最佳实践一：Secure By Default

经常可以看到一些权威文档上推荐使用“default denied”，这就是“Secure By Default”
的一种体现。

“Secure By Default”可以说是一个最佳实践。在很多时候，这个思想应该上升到战略的高度。只有真正做到“Secure By Default”，才能保证网站的安全。

因为随着时间的推移和系统的发展、膨胀，会变得越来越臃肿。一个大系统发展到后期，基本上没有一个人能了解系统的全部，而变化却每天都在发生。所以，在这种情况下，只有使用“Secure By Default”的思想来制定安全方案。

白名单往往是实现“Secure By Default”的方法。与黑名单不同，白名单的思想很好的体现了“default denied”。下面以XSS的防御问题举例。

对于一些HTML的标签和事件，黑名单的做法是列出危险的标签和事件，然后禁止他们。

WEB安全的设计思想就像大家介绍完了，希望大家已经掌握了。

【编辑推荐】

1. Web云安全技术应用
2. WEB应用安全设计思想
3. Web安全网关采购指南 注重性能