Любой продукт, который находится в Интернете, подвержен атакам. Бывают атаки на структуру данных, использование идентификации, инъекции, отслеживание путей, манипуляция с протоколом, истощение ресурса и т.д. Рассмотрим принципы безопасности веб-приложений.

1) Безопасность на всех уровнях. Если мы занимаемся контролем входных переменных, то это надо делать на всех уровнях. Скачивая игры для Huawei, необходимо проверять источник информации и файлов.

2) Позитивная модель безопасности. Это означает, что по умолчанию все запрещено. Если пользователю нужно воспользоваться какой-то возможностью, то он должен взять разрешение в администратора.

3) Корректная обработка сбоев. В результате сбоев не должно получиться возможности доступа к каким-то ресурсам.

4) Запуск с минимальными привилегиями. Каждый пользователь должен иметь свои права и возможности. Не нужно надавать больших возможностей, если они не пригодятся.

5) Избегать опасности на основе неизвестности. Допустим, у вас есть отдельные порты администратора. Вы думаете, что если о них никто не знает, то у вас все хорошо. Но это не так.

6) Безопасность должна быть простой. Это не значит, что не нужно ничего делать. Просто при построении системы безопасности нужно понимать, кого вы боитесь, последствия, которые могут возникнуть. На такой основе нужно все строить, не нужно делать очень сложными системы, все должно быть четким и надежным.

7) Блокирование вторжений. Вторжение – это лишнее обращение к базе данных. Система должна быть налажена так, чтобы быстро проявлять такие атаки.

8) Не доверять сторонним сервисам.

Если соблюдать эти принципы, то приложение будет надежным и работоспособным.