清单 - 通过身份验证的 Web 应用程序安全性

Question

为了确保我做好了功课，最好的办法是让社区赞赏我的结果，希望它能帮助其他想知道如何保护他们的网站的人。

我正在基于 Express 框架使用 NodeJS 和 ReactJS 构建网站。我的数据库堆栈是 MongoDB 和 Mongoose。换句话说，现代 webapp 的非常常见的堆栈。因此，我进行了一些研究，以了解为了保护我的 Web 应用程序需要预防哪些措施。

这里是我发现的零食：

• XRF > 同步器令牌，
• XSS > httpOnly cookie

• 中间人，会话劫持 > TLS / 安全 cookie 标志

• 蛮力，时间攻击 > Bcrypt 慢速 CPU 核心时间散列

• rainbow table > 对密码进行加盐，这意味着将用作附加输入的随机数据放入“散列”的单向函数中

为了巩固安全措施，可以在服务器端做一些反验证——IP地址，位置，这种东西。

其他点心，对于 web 应用来说意义不大，但我把它们放在这里是为了标记它们：

• 野兽
• 鱿鱼
• SSLStrip

我忘记了其他对处理我的 webapp 安全性非常重要的威胁？

任何提示都会很棒， 谢谢。

Answer 1

OWASP Top 10 list 是一本很好的读物，可帮助您开始了解应用程序的安全性。

OWASP Cheat Sheet Series 提供有关如何缓解威胁的详细信息。

您是在专门询问网站安全性。安全是一种分层方法，这意味着如果一个层未能捕获安全漏洞，希望下一层能够捕获它。公平地说，业界一致认为，强大的内容安全策略是保护您的网站免受 XSS 攻击的更重要的事情之一。

安全方面没有灵丹妙药。