针对网站开发中常见的安全问题，整理一些常见开发规范。（持续更新）
１） SQL注入
必须使用占位符生成所有SQL语句。
通过串联构建SQL语句时，请使用数据库引擎提供的特殊API来执行转义，并正确地组成SQL语句中的文字。
不要直接将传递给web应用程序的参数写入SQL语句（必须过滤传入参数，并且使用占位符组成SQL语句）。
限制显示在web浏览器上的错误消息，避免出现具体SQL错误等提示。
向数据库帐户授予最低权限。
２） OS命令注入
避免开放、使用可能调用shell命令的函数或接口。
当使用可以调用shell命令的函数时，请检查组成shell参数的所有变量，并确保只执行那些被授权执行的变量。
３） 未检查路径名参数/目录信任
不要直接使用外部参数指定存储在web服务器上的文件的名称。
使用固定目录来处理文件名，并去除文件名中的目录名。
正确管理文件访问权限。
检查文件名。
４） 会话管理不完备
使用HTTPS：确保应用使用HTTPS来加密所有的请求和响应数据，从而防止会话信息在网络中明文传输，减少中间人攻击的风险。
安全的Cookie设置：设置HttpOnly标志，防止通过JavaScript访问Cookie，增加Cookie的安全性。设置Secure标志，确保只有通过HTTPS传输时才能使用Cookie。
登录会话标识（Session ID）：在每次请求时强制用户提供一个唯一的会话标识符，并验证其有效性。
定期更新会话标识：要求用户定期更新他们的会话标识，例如，通过要求用户登录来获取一个新的会话标识。
注销机制：提供及时的注销或退出登录功能，让用户可以主动终止会话。
５） Cross-Site Scripting
检查输入值，不允许HTML/Javascript/CSS文本输入。
对要输出到网页的所有内容执行过滤、转义。
在HTML中输出URL时，只允许以某些模式开头的URL，如“http://”和“https://”。
不允许动态创建包含＜script></script>标记的内容。
不允许从任意网站导入样式表。
６） CSRF
当通过POST方法访问要执行某些操作的网页时，生成一个秘钥，将其插入表单的隐藏标签中，只有当秘钥正确时才执行请求的操作。
在执行请求前要求输入密码、或图形验证码、或手机验证码，只有在密码、或图形验证码、或手机验证码正确的情况下才能完成操作。
检查referrer是否为预期的URL，只有当URL正确时才能继续。
７） HTTP标头注入
不要直接打印HTTP头。
检查请求头是否合法，对请求头进行验证和清理，并且避免将用户输入包含在响应标头中。
删除请求头中出现的所有换行符。
８） 邮件头注入
标头使用固定值，并将所有外部输入输出到电子邮件正文。
如果固定值不能用于标头，请使用web应用程序的执行环境或语言提供的电子邮件发送API。
不要在HTML中指定电子邮件地址。
删除外部文本输入中出现的所有换行符。
９） 点击劫持
确保你的服务器在HTTP响应头部中正确设置了X-Frame-Options: DENY或SAMEORIGIN。
使用Content Security Policy（CSP）并设置frame-ancestors指令。
使用X-XSS-Protection，并确保它被设置为0。
１０）缓冲区溢出
对于外部输入的数据进行验证和清理，确保它们的大小不会超过预期的缓冲区大小。
使用 StringBuilder 或 StringBuffer 的 append 方法来拼接字符串，并提前设置一个合理的容量大小，避免不断扩展内存。
１１）缺少访问控制和授权控制
我们基于Shiro实现身份验证、访问控制、授权控制。
１2）服务器安全对策
经常检查操作系统和软件漏洞信息，并采取相应的必要措施。
建议使用加密身份验证访问服务器，例如公钥，而不是使用密码进行远程服务器访问。
如使用密码身份验证时，请确保使用足够复杂的字符串。
禁用未使用的服务和接口，并删除不必要的帐户。
不要将不打算公开的文件放在web服务器的公共目录下。
