1.如果我可以一直坚持在这条道路上，我希望自己可以年轻，有活力，充满激情，秉承曾经的精神！
2.PHP语言至今仍然只能依靠较好的代码规范来保证没有文件包含漏洞，而无法从语言本身杜绝安全问题的发生
3.SQL（注入攻击）
4.XSS（跨站脚本攻击）
5.安全问题的本质是信任问题
6.安全三要素：（1）机密性，数据内容不能泄露（2）完整性，数据内容没有被篡改（3）可用性
7.威胁：可能造成危害的来源；风险：可能出现的损失。
8.安全评估过程分为四个阶段：资产等级划分，威胁分析，风险分析，确认解决方案
9.威胁建模可以系统的找到威胁，做到尽量不遗漏
微软提出过ＳＴＲＩＤＥ的模型：
10.风险评估：
微软DREAD模型：
11.Secure By Default(白名单，黑名单，最小权限原则)
12.Defense in Depth（纵深防御）
13.数据与代码分离原则（防注入）
缓冲区溢出就是程序在栈或者堆中把数据和代码混淆了导致的安全问题。
14.不可预测性原则：从克服攻击方法的角度看问题
例如微软使用DEP让堆栈不可执行，使用ASLR让进程的栈基址随机变化
15.
相关文章：