关于web安全的思考

这周有一次关于软件安全的讨论，好比Sql注入和Xss，

     Sql注入须要采起手段防止额外的拼接；

      Xss须要处理好用户的输入是否要到浏览器中执行，但按照业务须要分为执行和不执行两种；不执行的状况比较好办，好比Velocity的Escape工具既能够实现。执行的状况：对于用户的输入确实又要在浏览器中执行的状况，能够用黑白名单来作到。

     我这里想强调的是另外一点，判断一个用户是否登录通常由session或者cookie来作到，而后作拦截器；但若是一个用户登录了，原本要删除本身的blog，可是经过firebug等工具，修改为其余人的blog_id,而后提交删除的操做，估计不少状况下能够把其余人的blog删除掉。也就是写这种删除操做的时候，也须要判断一次这个blog的owner。

     这里mark一下，抽时间作实验验证...