网站安全 第2页

网址预览、远程图片导入等功能会让服务器主动发起请求。服务器所在网络可能拥有用户浏览器没有的访问能力，因此输入一个URL不等于可以请求任意目标。

同一段输入放进HTML正文、属性、URL或脚本时，浏览器会按不同规则理解它。输出防护需要知道数据将进入哪里，不能把一个通用替换函数用于所有位置。

重置链接相当于一份临时授权。系统不仅要把邮件送到用户手里，还要限制令牌的有效期、使用次数和关联账户，避免旧链接长期保留修改密码的能力。

CSV里保存的文本，进入电子表格软件后可能被解释为公式。来自用户的昵称、备注等字段，不能因为已经通过CSV格式转义就默认只会按文字显示。

把用户输入直接拼进SQL文本，会混淆查询结构与数据。参数绑定让驱动按数据处理相应值，是数据库访问中的基础防护，但不代表所有权限问题都已经解决。

浏览器可能自动携带登录Cookie，服务器因此需要区分用户期望的操作与被其他页面诱导的请求。CSRF防护与登录、对象权限是不同层面的检查。

robots.txt向遵守规则的爬虫说明抓取偏好，不是文件访问控制。把敏感目录写进Disallow，并不会让普通请求失去读取这些文件的能力。

登录页面常用返回地址把用户带回原页面。如果服务器直接使用外部输入作为跳转目标，可信域名的链接也可能把用户送往其他网站。防护应从目标选择规则开始。

按钮本身有权限校验，仍不代表用户一定看清了自己点击的页面。针对基于框架嵌入的点击劫持，可以通过响应头限制哪些页面有权把当前网页装进iframe。

个人资料页面不应被共享缓存错误地展示给别人，但禁止共享缓存和禁止保存响应并不是同一项要求。配置Cache-Control时，需要先区分缓存所在的位置。