内容发布更新时间 : 2024/11/19 2:46:53星期一 下面是文章的全部内容请认真阅读。

BFG 【2015】 I：第021-1号

开发代码安全规范

防SQL注入和XSS跨站攻击代码编写规范

修订历史

版本 1.0 发布日期 2015-12-01 作者 审核者 改版记录 正式版 目 录

概述 ................................................................................................................................................... 2 适用范围 ........................................................................................................................................... 3 一、第一类漏洞类型-SQL注入（SQL INJECTION）及规范 ............................................................. 3

编号：BFG 【2015】 I：第021-1号

1.1名词解释： ................................................................................................................................ 3 1.2经典案例说明： ........................................................................................................................ 3 1.3代码实例分析： ........................................................................................................................ 6 1.4防止SQL注入攻击的代码安全规范总结： ............................................................................ 8 二、第二类漏洞类型-XSS跨站脚本攻击及规范 ............................................................................. 9

2.1名词解释： ................................................................................................................................ 9 2.2经典案例说明： ........................................................................................................................ 9 2.3 防止XSS跨站脚本攻击的代码安全规范总结： ................................................................. 10 三、安全操作实践 .......................................................................................................................... 11

概述

在技术高速发展的今天，Web应用被广泛使用，伴随而来的是各种安全隐患，主要是编程人员的安全意识较淡薄，缺乏安全编程经验，上线前安全检测不全面。因此，给心怀不轨之人以机会，对公司和个人财产安全造成威胁。本规范希望给编程人员一个较清晰的安全概念，在代码编写时提高警惕。

第 2 页 共 11 页

集团

IT部 版本：V1.0 创建日期：20151201

编号：BFG 【2015】 I：第021-1号

适用范围

xx集团及其分子公司业务系统的所有开发人员，包括系统外包的第三方开发人员。

一、第一类漏洞类型-SQL注入（SQL Injection）及规范

1.1 名词解释：

SQL注入攻击：通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。

具体来说，它是利用现有应用程序，将（恶意）的SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入（恶意）SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。

1.2 经典案例说明：

例1：用户登录界面及标准输入格式：

Web与数据库连接调用方式：

第 3 页 共 11 页

集团

IT部 版本：V1.0 创建日期：20151201