Skip to content

系统安全

Jump to bottom
Eric Du edited this page Sep 1, 2014 · 1 revision

Host安全

SSH：只能使用公私钥通过SSH登录

Container安全

LXC容器安全实践

APP安全

输入校验：

@command

WEB安全

  • CSRF/XSRF：veil支持xsrf_token
  • XSS：所有输出使用jinja2模板引擎；如果需要给JS脚步数据，读HTML属性，不要直接渲染到JS代码
  • nginx配置
add_header X-Frame-Options SAMEORIGIN;
add_header X-XSS-Protection "1; mode=block";
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains";

数据库

总是使用parameter binding，除非在确定输入不是来自用户或者用户输入已经校验过

Clone this wiki locally