doc:warning

注意事项

系统架构

企业QQ开放平台要求提供服务的合作伙伴开发商,要设计好服务的技术架构,可以快速平行扩容。至少应该容纳10万用户的访问,还具备扩容能力。之前已经出现过服务一开放入口,因为压力过大,马上就无法访问的案例。此问题,对用户开发者来说,并不那么尖锐,只要考虑供自己企业的员工使用就够了。

如果没有自己的服务器,尽量部署到腾讯云服务器上,以便降低运维风险。

app_secret保护

app_secret是应用请求开放平台生成access_token的唯一认证,使用app_secret目的是确保应用是开发者本人在使用。

access_token保护

access_token是用户通过应用访问开放平台的会话标识,应用程序需要做好保护机制,防止泄漏。

如果丢掉access_token请尽快与我们取得联系。

SQL注入漏洞

名称: SQL注入漏洞(SQL Injection)

描述:Web程序代码中对于用户提交的参数未做过滤就直接放到SQL语句中执行,导致参数中的特殊字符打破了SQL语句原有逻辑,黑客可以利用该漏洞执行任意SQL语句。

检测方法:通过修改参数来判断是否存在漏洞。

修复方案: 1. 针对ASP.NET的防XSS库,Microsoft有提供统一的方法。

2. 针对其它语言如下细分:

在代码级对带入SQL语句中的外部参数进行转义或过滤:

(1)对于整数,判断变量是否符合[0-9]的值;其他限定值,也可以进行合法性校验

(2)对于字符串,对SQL语句特殊字符进行转义(单引号转成两个单引号,双引号转成两个双引号)。关于这点,PHP有类似的转义函数mysql_escape_string和mysql_real_escape_string。

建议:

(1)使用腾讯CMEM存储方案;

(2) 对与数据库进行交互的用户请求数据,要先做过滤,防止SQL注入。

CSRF漏洞

名称:CSRF漏洞(Cross Site Request Forgery)

描述:用户以当前身份浏览到flash或者开发者网站时,JS/flash可以迫使用户浏览器向任意CGI发起请求,此请求包含用户身份标识,CGI如无限制则会以用户身份进行操作。

检测方法: 1. 在实际的测试过程中,测试人员需要判断操作是否为保存类操作,是否强制为POST方式传输参数。 判断方式是通过抓包工具把所有的POST参数都改成GET方式提交。 需要注意的是,这种方法只可防止图片跳转式CSRF漏洞,如果页面上有XSS漏洞话,CSRF无法防御。 2. 最简单的办法就是查阅该cgi是否带有无法预知的参数,例如随机字符串等。

修复方案:可使用以下任意办法防御CSRF攻击: 1. 在表单中添加state; 2. 请求referrer验证; 3. 关键请求使用验证码。

应用安全涉及的范围比较广,开发者除了要注意避免掉上面常见的安全问题外,了解自身产品的安全缺陷,提升产品和开发人员的安全意识,尽可能的减少安全问题产生。如果出现安全问题,可以及时联系我们。

doc/warning.txt · 最后更改: 2016/04/22 17:09 (外部编辑)