想要开宣布一个安全的、强健的Web运用其实是十分困难的，假如你觉得这完成起来十分简略的话，那么你一定是一个X炸天的程序猿，要么你便是在白日做梦……

写在前面的话
假如你觉得你能够在一个月之内开宣布一款集运用价值、用户体会度、以及安全性为一身的产品，那么在你将产品原型真实推上商场之前，请一定要三思啊！
当你细心核对了本文给出的安全小贴士之后，你可能会发现你在产品的开发阶段跳过了许多重要的安全进程。有的时分，或许你应该对你的用户坦白一点，你应该诚实地告知他们这款产品还没有完全搞定，还有许多的安全问题亟待解决。
下面的这份速查表十分简练，并且肯定还有许多东西没有涉及到。就我个人而言，我从事安全Web运用开发作业现已超越14年了，而本文给出的小贴士都是让我在曩昔一段时间里曾痛苦不堪的重要安全问题。我期望我们能够认真对待，不仅是对用户担任，也要对自己的职业生涯担任。
数据库篇
1.    对相似拜访令牌、电子邮箱地址或账单概况进行加密处理，尤其是用户的身份辨认信息（暗码）。
2.    假如你的数据库支撑低成本加密，请保证敞开这项功用并维护主机磁盘中的数据。与此同时，保证一切的备份文件都进行了加密存储。
3.    依照最小权限准则给数据库拜访账号分配权限，不要运用数据库的root账号。
4.    运用密钥存储器来保存或派发密钥，不要直接将密钥硬编码在你的运用之中。
5.    经过运用SQL预处理句子来防止SQL注入进犯。比如说，假如你运用的是NPM，那么请不要运用npm-mysql，你应该用的是npm-mysql2，由于它支撑SQL预处理句子。
开发篇
1.    保证你软件中一切组件的每一个版别都进行了缝隙扫描，包含接口、协议、代码以及数据包。
2.    对产品中一切运用到的第三方东西时间坚持警惕性，挑选一款安全系数较高的开发渠道。
身份验证篇
1.    运用适宜的加密算法（例如bcrypt）来核算并存储暗码哈希，在初始加密时挑选适宜的随机数据，还有便是千万不要自己去写一个加密算法。
2.    运用简略但强健的暗码规矩，以鼓舞用户设置长度满足安全的随机暗码。
3.    在服务的登录机制中引进多要素身份验证功用。
DoS维护篇
1.    保证那些针对API的DoS进犯不会严重影响你网站的正常运转，至少要约束API的恳求拜访速率。
2.    对用户所提交的数据和恳求进行结构和巨细的约束。
3.    运用相似CloudFlare这样的缓存署理服务来为你的Web运用增加DDoS缓解计划。

Web流量篇
1.    运用TLS，不只是你的登录表单和网站呼应数据，而是你的整个网站都应该运用TLS。
2.    Cookie有必要为httpOnly。
3.    运用CSP（内容安全战略），尽管装备进程比较费事，但这觉得是值得的。
4.    在客户端呼应中运用X-Frame-Option和X-XSS-Protection头。
5.    运用HSTS呼应，运用HTTPS。
6.    在一切的表单中运用CSRF令牌。
API篇
1.    保证你一切的公共API中没有能够枚举的资源。
2.    保证用户在运用你的API之前，对他们的身份进行验证。
验证篇
1.    在客户端对用户的输入进行验证，并即便给予反应（Ajax），但永久不要信任用户输入的数据。
2.    在服务器端再对用户所输入的每一个字符进行一次完全的验证，永久不要直接将用户输入的内容注入到呼应数据中，永久不要直接在SQL句子中刺进用户供给的数据。
云端装备篇
1.    保证一切的服务只敞开必要的端口，封闭不必的端口，并对常用端口进行强制性的安全维护，由于经过非标准端口来进行进犯关于进犯者而言相对来说是比较困难的。
2.    保证服务器后台数据库和后台服务无法经过公网查看到。
3.    在独自的VPC节点装备逻辑服务或供给服务内通讯。
4.    保证一切的服务只承受来自有限IP地址的数据。
5.    约束输出数据的IP地址以及端口。
6.    运用AWS IAM人物，不要运用root凭据。
7.    对一切的管理员和开发人员供给最小的拜访权限。
8.    定时替换暗码和拜访密钥。
基础设施篇
1.    保证能够在主机不下线的情况下进行更新操作，保证布置了全自动化的软件更新战略。
2.    运用相似Terraform这样的东西来创立一切的基础设施，不要运用云端console（控制台）来进行创立。
3.    对一切服务的日志进行会集记载，不要经过SSH来拜访或获取日志。
4.    不要让AWS服务组的端口22坚持敞开状况。
5.    一定要布置侵略检测

[1] [2]  黑客接单网