開發(fā)人員必須權(quán)衡好安全和功能之間的關(guān)系，這要看某種攻擊得逞的可能性有多大、這個系統(tǒng)有多重要。

　　開發(fā)人員可以運用諸多基本原則來增強(qiáng)Web應(yīng)用程序的安全性。主要有以下三條原則:

　　盡量減小權(quán)限

　　對訪問資源的賬戶進(jìn)行配置時，始終要把這些賬戶的權(quán)限限制在需要的最小權(quán)限。

　　千萬不要相信用戶的輸入，驗證任何輸入的內(nèi)容

　　這對Web應(yīng)用程序來說尤為重要。確保應(yīng)用程序并不依賴客戶端的驗證。在服務(wù)器上應(yīng)當(dāng)重復(fù)所有的檢查工作，因為要是沒有約束條件，比較容易構(gòu)建網(wǎng)頁副本，有可能導(dǎo)致破壞性代碼在運行，或者導(dǎo)致引起系統(tǒng)崩潰的拒絕服務(wù)（DoS）攻擊。

　　有節(jié)制地使用錯誤消息

　　雖然在開發(fā)程序時，詳細(xì)的錯誤消息很有幫助，但它們對惡意用戶來說同樣是寶貴的信息來源。所以指定函數(shù)名這類細(xì)節(jié)沒有太大的意義。這樣的細(xì)節(jié)記錄在另一個日志中比較好。

　　下面幾個示例介紹了沒有經(jīng)過驗證的用戶輸入如何被壞人利用的具體情況，并且介紹了避免這些問題的建議。

　　SQL注入

　　如果允許任意的SQL命令執(zhí)行，就會出現(xiàn)SQL注入（SQL injection）。當(dāng)SQL語句在代碼里面動態(tài)構(gòu)建時，通常會出現(xiàn)這種情況。

　　以下面用C#編寫的代碼為例，該代碼試圖檢查用戶名/密碼組合是否正確:

　　string username = txtUsername.Text;

　　string password = txtPassword.Text;

　　string SQL = "SELECT * FROM tblUsers

　　WHERE username = '"+ username +"'

　　AND password = '"+ password + "';";

　　//執(zhí)行SQL

　　用戶名和密碼從服務(wù)器端的兩個文本框獲取,并且SQL語句被創(chuàng)建，然后該語句執(zhí)行。如果沒有記錄返回，那么表明用戶輸入的詳細(xì)資料不正確，或者沒有經(jīng)過注冊; 否則用戶可以進(jìn)入到下一個階段。

　　如果用戶在兩個文本框里面輸入了Joe和mypassword，那么SQL語句會是:

　　SELECT * FROM tblUsers

　　WHERE username = 'Joe'

　　AND password = 'mypassword';

　　這正是開發(fā)人員的意圖。不過要是用戶往密碼文本框里面輸入: ' OR 'a' = 'a，SQL就會是:

　　SELECT * FROM tblUsers

　　WHERE username = 'Joe'

　　AND password = ''

　　OR 'a' = 'a';

　　現(xiàn)在，密碼不重要了，因為'a'='a'總是正確的。如果用來連接到數(shù)據(jù)庫的賬戶有權(quán)刪除數(shù)據(jù)而不是僅僅有權(quán)讀取數(shù)據(jù)，就會出現(xiàn)更糟糕的情形。假設(shè)用戶往密碼文本框里面輸入: '; DELETE FROM tblUsers WHERE 'a' = 'a'。這會得出以下的語句:

　　SELECT * FROM tblUsers

　　WHERE username = 'Joe'

　　AND password = '';

　　DELETE FROM tblUsers

　　WHERE 'a' = 'a';

　　現(xiàn)在，整個用戶表就會被清空。

　　防止這類問題主要有兩種辦法。一是，可以使用存儲過程（stored procedure）來執(zhí)行用戶驗證步驟。設(shè)置參數(shù)值時，避免使用單引號等特殊符號，因而不可能為WHERE語句添加額外的斷言（predicate），也不會運行多個SQL語句。譬如說，可以構(gòu)建像下面這樣的存儲過程，接受兩個輸入?yún)?shù)后，返回表明用戶是不是合法用戶的第三個參數(shù):

　　CREATE PROCEDURE spCheckUser

　　(

　　@Username VARCHAR(20),

　　@Password VARCHAR(20),

　　@IsValid BIT OUTPUT

　　)

　　AS

　　DECLARE @UserCount INT

　　SELECT @UserCount = COUNT(*)

　　FROM tblUsers

　　WHERE Username = @Username

　　AND Password = @Password

　　IF @UserCount = 1

　　SET @IsValid = 1

　　ELSE

　　SET @IsValid = 0