网络安全 第2页

robots.txt向遵守规则的爬虫说明抓取偏好，不是文件访问控制。把敏感目录写进Disallow，并不会让普通请求失去读取这些文件的能力。

通行密钥使用公钥密码学完成认证，减少手工输入共享密码的需要。理解它与网站的绑定方式，也要同时了解设备丢失或更换后的恢复安排。

同一段输入放进HTML正文、属性、URL或脚本时，浏览器会按不同规则理解它。输出防护需要知道数据将进入哪里，不能把一个通用替换函数用于所有位置。

把用户输入直接拼进SQL文本，会混淆查询结构与数据。参数绑定让驱动按数据处理相应值，是数据库访问中的基础防护，但不代表所有权限问题都已经解决。

浏览器可能自动携带登录Cookie，服务器因此需要区分用户期望的操作与被其他页面诱导的请求。CSRF防护与登录、对象权限是不同层面的检查。

登录页面常用返回地址把用户带回原页面。如果服务器直接使用外部输入作为跳转目标，可信域名的链接也可能把用户送往其他网站。防护应从目标选择规则开始。

按钮本身有权限校验，仍不代表用户一定看清了自己点击的页面。针对基于框架嵌入的点击劫持，可以通过响应头限制哪些页面有权把当前网页装进iframe。

网址预览、远程图片导入等功能会让服务器主动发起请求。服务器所在网络可能拥有用户浏览器没有的访问能力，因此输入一个URL不等于可以请求任意目标。

访客阶段的会话进入登录状态时，权限边界发生了变化。继续沿用原会话标识可能扩大风险，因此认证成功后应按框架机制更新会话标识，并处理旧标识的有效性。

下载功能如果把用户提供的字符串直接拼进文件路径，可能读取到原本不应提供的内容。限制下载范围应依靠明确的文件选择与权限规则，不能只删除几个可疑字符。