第二章 核心防御机制
2.1 处理用户访问
2.1.1 身份验证
方式：用户名密码，客户端证书，多阶段登陆，挑战-应答令牌
- 首先说明身份
2.1.2 会话管理
会话令牌
- 然后拿到身份令牌
2.1.3 访问控制
- 最后根据令牌和身份进行访问控制
2.2 处理用户的输入
2.2.1 输入的多样性
2.2.2 输入处理方法
1. 拒绝已知的不良输入（黑名单）
2. 接受已知的正常输入（白名单）
3. 净化（转义）
4. 安全数据处理
5. 语法检查
《黑客攻防技术宝典Web实战篇》读书笔记（二）
©著作权归作者所有,转载或内容合作请联系作者
- 文/潘晓璐 我一进店门，熙熙楼的掌柜王于贵愁眉苦脸地迎上来，“玉大人，你说我怎么就摊上这事。” “怎么了？”我有些...
- 文/花漫 我一把揭开白布。 她就那样静静地躺着，像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上，一...
- 文/苍兰香墨 我猛地睁开眼，长吁一口气：“原来是场噩梦啊……” “哼！你这毒妇竟也来了？” 一声冷哼从身侧响起，我...
推荐阅读更多精彩内容
- 一、Web应用程序安全与风险不完善的身份难措施（62%）、不完善的访问控制措施（71%）、SQL注入（32%）、跨...
- 第二章、核心防御机制（二） 书接上文，处理完用户的访问与输入，下面来处理攻击者，管理应用程序。 2.3、处理攻击者...
- 第三章、Web应用程序技术（Web功能）（二） 服务器端要接受用户输入，并向用户返回结果。所以他必须提供一个==客...
