在开发过程中，必须将安全性内置于代码层面。以下规范旨在从源头遏制常见漏洞： 1. **SQL注入防护** * 所有数据库查询必须使用参数化查询或预编译语句，严禁直接拼接用户输入。 * 对无法参数化的场景（如动态表名），应严格使用白名单机制进行校验。 2. **跨站脚本（XSS）防护** * 所有输出到HTML页面的用户数据，必须根据上下文进行编码或过滤。 * 明确区分“数据”与“代码”，对`innerHTML`、`document.write`等危险操作的使用进行严格评审。 3. **输入验证与输出编码** * 遵循“数据与代码分离”原则，对所有外部输入进行严格的类型、长度、格式校验。 * 在数据输出前，必须根据目标上下文（HTML、JavaScript、URL）进行编码。 4. **权限与会话管理** * 关键操作必须进行身份重验证，会话标识需使用强随机数并设置合理超时。 * 遵循最小权限原则，避免使用过高权限的数据库账户。 5. **其他关键要求** * 错误信息应统一处理，避免向用户泄露系统敏感细节。 * 对文件上传功能，需限制类型、检查内容，并避免直接用户访问上传目录。 * 敏感操作（如密码修改）需记录详细的安全日志。 安全是功能实现的基石而非附加选项。每位开发者都应在编码时主动思考其安全影响，并通过代码审查确保规范落地。

本文由征辉科技发布于定制系统,转载请注明出处：防止SQL注入、跨站脚本等常见Web攻击的定制系统编码规范