说三道四技术文摘-感悟人生的经典句子
说三道四 > 文档快照

招聘开发者常见的九大误区

HTML文档下载 WORD文档下载 PDF文档下载
很多公司在招聘自由职业者和长期性的开发者时往往会忽略他们的安全知识,这是个致命的错误。要知道,正因为你的不小心,最终可能因聘请一位网络新手而给你的代码库带来致命性的灾难。

很多公司在招聘自由职业者和长期性的开发者时往往忽略了他们的安全知识,这是个致命的错误。通常在面试过程中,面试官会站在应聘者能否写出优美的代码角度进行考虑,大多数情况下忽略了安全知识——但也不排除在其离开前会提出关于漏洞方面几个粗浅的问题。仅仅如此是绝对不够的!要知道,正因为你的不小心,最终可能会聘请因一位网络新手而给你的代码库带来致命性的灾难,或者至少会让你失望(花费你大量的时间和金钱)。因此,千万不要犯这样的错误!

许多开发者缺乏对安全知识的理解和经验运用。在面试过程中,如果你发现应聘者有这方面的迹象,那么你需要进一步挖掘并注意提防。你可以提示应聘者应该怎么做来确保网站的安全以及为什么要这么做或者在创建某个网站时应该注意哪些安全问题?

本文列举了九大误解,或许这些误解在你的工作生涯中也曾见识过,我们一起来看下。


一、如果我们使用Web框架,那么不必担心安全问题。

一些流行的框架比如Rails和 Django在编写之初已考虑到安全性问题,并帮助防止常见的漏洞问题。然而,它们并不能阻止业务逻辑出现的缺陷,比如设置产品数量为负数,这就可能给攻击者提供了机会。如果你以非常规的方式使用该框架,它们会努力去保护你,此外,许多安全功能需要由开发者手动实现。

二、我不是很有趣,没人想要攻击我

即便你的公司或应用不是很有价值,访问者或者黑客也可能会攻击您的网站。如果你的网站能够被搜索引擎检索到,并且还有常见的漏洞,那么你的网站已不安全了,已经被攻击了。

比如,2008年,有一连串的自动ASPROX 蠕虫利用网站SQL注入漏洞,以致用户的电脑受到多个恶意脚本的攻击,直到今天仍然有许多网站受到影响。

三、我们已经有了备份,因此无后顾之忧。

尽管网站被攻击后,备份可以帮助你恢复,但它绝不是一个网站安全性良好的、可行性的替代方案。

遭到黑客临时被攻击的网站可能会导致严重的后果,比如,被搜索引擎列入黑名单,敏感的用户数据被盗,网络钓鱼或蠕虫攻击你的访客。此外,即使你把网站备份了,也不能保证其不会再发生了。

四、它是一个内部网络。所以,安全并不重要。

你永远也不能确保威胁不会来自某个雇员或者攻击者以某种方法来获得访问内部网络。

比如,公司内部的CRM或ERP的机密数据被心怀不满的初级员工或者因好奇心缺乏安全意识的员工、临时工因缺乏工作安全性而泄露?攻击者通过你的无线网或者互联网连接而获取网络访问?等等这些都会对你造成潜在威胁。

五、它是安全的,因为通过VPN连接。

尽管用户使用安全的网络连接到你的应用程序,但这并不意味着你的应用程序本身就是安全的。正如我们第四条谈到的内部网络(恶意员工和网络漏洞)。

六、网站使用SSL,因此,它很安全。

如果你的网站使用SSL,它会在你的网站和访问者浏览器之间传输加密数据,尽管它能防止他人拦截未加密的数据,但SSL却无法阻止攻击者利用漏洞来访问你的网站。

七、我想防火墙可以做到!

防火墙实施了一套规则能够控制访问者的IP地址或端口,但却无法阻止访问者利用漏洞访问你的网站。应用防火墙的作用是在HTTP请求级别上但不会查看请求的内容。当正确配置后,防火墙可以帮助减少特定的攻击,比如跨站点脚本或者SQL注入,但不会确保你免受攻击,无法解决根本性问题。更重要的是,黑客会采取很多方法来绕过Web应用防火墙。

八、我们做了渗透测试和源代码分析,因此不需要担心!

渗透测试和源代码分析是编写安全Web应用程序的基本组成部分,但它却不能“包治百病”。重要的是,你不能保证所有的漏洞都能被检测到,因此你需要确保编写安全代码。更重要的是,修复Bug是如此的昂贵,漏洞亦如此,你应该在渗透测试阶段尽可能多地查找漏洞。

九、热门书籍教你如何编写安全代码。

截止到目前,你几乎不可能找到有关编写安全代码方面的编程书籍。开发者利用这些书籍学会Web应用开发,但却无法做到编写安全的Web应用,除非他们已经经历某个应用被黑客攻击或者其在Web安全方面感兴趣。

误解只是个开始!

在招聘开发环节中,检查误解是极其重要的一步,开发者可以编写安全的代码,但这只是众多步骤中的第一步。文中提及的这九大误区,希望对你有所帮助。

英文出自:Scantosecure

用Delphi进行数据库之间转换 用Delphi开发“瘦”单机数据库应用系统 用Delphi如何实现VFP中的Cache特性 用Delphi设计数据库应用的几点体会 在我们日常工作中,常会碰到这样一个难题:一大堆-Delphi资料 用DELPHI制作应用软件 用Dephi 程 序 维 护Paradox 数 据 表 的 索 引-Delphi资料 用Dephi程序维护Paradox数据表的索引-Delphi资料 用InstallShield制作数据库应用系统的安装程序-Delphi资料 在BDE中使用ASCII-Delphi资料 在DBMemo中查找文字-Delphi资料 在Delphi 程序中维护DBF 数据库 在Delphi 中 利 用 Tbatch 组 件 完 成 数 据 批 处 理 在Delphi 中使用计算出的字段 在Delphi3 程 序 中自 动 检 测、 建 立 数 据 库 别 名 和 表 格 在Delphi3程序中自动检测、建立数据库别名和表格 在Delphi4 BDE中配置Access数据库 在Delphi5 中修改了Delphi自带的VCL Source文件后怎样重建Delphi的库文 在DELPHI程序中动态设置ODBC数据源 在DELPHI程序中使用ADO对象存取ODBC数据库 在DELPHI程序中自动设置ODBC数据源 在Delphi的DBGrid中插入其他可视组件 在Delphi的Socket编程中如何从服务器向指定的客户机发送信息? 在Delphi动态生成定义数据库 在Delphi中处理数据库日期型字段的显示与输入 在Delphi中简单实现多重查询 在Delphi中建立和使用别名 在DELPHI中使用ADO对象存取ODBC数据库 在Delphi中使用DBF数据 在Delphi中随意控制DBGrid 每一行的颜色 在Delphi中自动检测、建立数据库别名和表格 如何得到文件路径 关于窗体的管理 JAVA代码操作数据库备份MYSQL? 我要将TEST01下所有的表授权有没有更简便的方法??? 数据库面试题,大家看看(给分无商量) 存储过程问题拉!帮忙看看吧! 关于ExportMap输出图片的问题? Image控件的问题? sql server 连接 请问无组建上传的详细代码解释。 怪问题! 对文件操作总报I/O error 32,请教???? 网上邻居的问题。 有一个比较基础的问题想同大家共同探讨。 急需各位高手帮忙 数据库冷备份脚本 在网页里如何检测IP地址? 调用其它程序问题! 谁能给我一个进销存的库结构啊 ▲▲▲ 有个"矩阵加括号"的通用程序,如何把它改得更好!!! "link"是什么意思? VB控件的问题 到这里放松一下吧:) 水晶报表报登录失败有什么原因? windows advanced server 2000 的雙網卡問題? SQL SERVER 在ASP 中的分页技术 socket数据传输中网络断开,如何处理? <<黑客II>>人物分析搞怪版 简单问题请教!!急!! 请问MSSQLServer7可以直接通过COPY数据库达到备份的目的吗? 各位大鸟们:帮兄弟拿个主意? 怎样改变webform的caption阿 怎样在程序中实现关闭或开启触发器? 如何把CListCtrl的滚动条移到最底端? TPageControl怎么动态生成一个TabSheet? vb6的工具菜单下有一个添加控件集工具,可以添加按钮列表框,树状视图列表视图拆分条,移动钮列表框3种,请问还可以找到更多的控件集吗? 请问为何cup周围有两个电容鼓起来? 上传文件时,出现Access to the path "c:\inetpub\wwwroot\upload\abcrar" is denied. TPageControl怎么动态生成一个TabSheet? treeview控件,如何能删除被选的节点的相邻两层?? 图像缩略图的问题,在线等待,急,我就只剩这些分了,倾囊相送,不要嫌少,谢谢了 指针,变量声明的问题,急,在线等待 大家推荐一款路由器,采用后100分相送! 一个字符串问题 我在project里面加入lib文件后,连接时报“linker error:segment _text exceeds 64k”,该如何解决。 一个字符串问题 怎样在网页上使用activex控件 两个时间如何共享代码? 我有一个ITF图像文件,如何对它“去边”? 哪儿能买《美丽心灵》?vcd或DVD,或者免费下载? help~有人知道像联众那样的游戏大厅怎么做么? ( )山( )野 填近义词 完善企业年金制度的措施 这个女女、长得还好额。 填近义词 ()山()野 填反义词()上()下求好心人,谢谢了~! 什么东西要用二极管 ( )兵( )政 ( )思( )想 要填近义词哦!(前)思(后)想不可以( )兵( )政( )思( )想要填近义词哦!(前)思(后)想不可以 教材解析135页关于线性规划题,9题,见补充我的疑问是:解析说函数与x轴有两交点,则b^2-4a^2>0,那万一系数a<0呢? 帮我看看这个类似二极管的东西是什么在一个整流电路中看到一个类似二极管的贴片器件,但是好像没有极性,接在变压器次级出来的两根线之间,然后这两根线再进入整流桥,这个芯片上面的字 防晒霜PA+++是不是比PA++好?SPF是不是越高越好? 求三角形的面积 这个工程由他来主持的“主持”的近义词是什么 填近义词 ( )兵( )将 ( )心( )气 数学中的应用题是否是中国特有的 主持的近义词 卖弄的近义词是什么? 两个通风管道相交一个圆形面,圆形怎么算圆圈那怎么计算工程量,单独标出700,600的地方是通风管道的直径吗? LCD,LED分别是什么 什么事和为贵 线性规划的题!谁会?第8题 附和的近义词和反义词 物理防晒的产品有表明SPF,PA指数吗? 什么是通风除尘 准确近义词是什么 炫耀的近义词是什么 三班两倒我下午17:30~次早7:30上班(夜班),早上回来休息了一天,然后的班次怎样的呢?请解惑. 准确的近义词正确~~~~~~ 哪种树是制作檀木的原材料. 微积分 分已经不多,但这是我最后的一点,希望把解题详细过程写出来.238页:78题:试证明曲线y=x^3在任何点(a,a^3)处的切线一定与该曲线再次相交,交点处的斜率是在点(a,a^3)处斜率的4倍.242 中华人民共和国浙江省温州市苍南县钱库镇第二高级中学现在是什么高?答省2级普高给分 确确实实的近义词是什么 堂皇的近义词是?不要富丽堂皇的近义词 我国管辖面积最大的省是哪个? 已知集合M={(x,y)|x+y=1},N={(x,y)|x-y=1},则M交N= 《大堰河-我的保姆》的意象 实行分配制度的意义 几个LED并连,为什么有几个比较暗 近义词(不要瞎答)骄傲 立即 缘故 精美 我国现实行的分配制度遵循了什么规律 M={(X,Y)|X+Y=2},N={(X,Y)|X-Y=4}那么集合M交N为多少 瞎的近义词[不要反义词】 我不会做题 考究的近义词急用! 瞎的近义词 甲乙两个圆柱体容器,底面积比是4:3,甲容器内水深7cm,乙容器水深3cm.再往两个容器内各加入同样多的水,直到水深相等.这是水深()cm. 地下根与地下茎的区别有显微镜的情况下内皮层和维管束方面 瞎想的近义词缩写句子1、就在我们几乎将这件事淡忘的时候,儿子收到一个写着他的名字并称他为“先生”的大信封.2、蒂姆出于高能物理研究的需要发明了万维网. 我国目前的分配制度是什么?为什么采取这种方式? 一和为贵的近义词 哪位朋友能帮忙找下关于《雨》或《雪》《阳光》《青春》《友谊》《回忆》的文章.要求字数1000字左右,看到的朋友帮下忙,急用… 帮我做做题, 流仪是什么意思 想起了( )作文 我不会做题,错了吗为什么我不会做数学题,妈妈就骂我!我是不是做错了什么? ()是整个认识活动的起点单项选择A概念B感觉C知觉D判断 求三角形面积 老师要我们做题,1 一堆圆锥形黄土,体积是4立方米,底面积是2.5立方米,高是?(请把求这个的公式写下来!)2 一个圆锥形的体积是150立方厘米,高是45厘米,底面积是?(请把求这个的公式写下来! 如何理解 认识质是起点,认识量是深入? 关于三角形面积 虚度年华的近义词 什么是烂番茄新鲜度? 放宽对华签证国家持续增多 目前已有1杭州昨雾天多个监测点PM2.5超标 日参议员违禁访朝促改善日朝关系 或将中国多地同现雾霾 华北再中“霾伏”局北京遭5级以上重度“霾伏” 一周发4北京继续被雾霾笼罩 前门PM2.5居德国与巴西共同向联合国提交有关反监控斯诺登致信默克尔:“讲实话并不犯法”泰国入境税对中国影响几何委内瑞拉总统谴责推特强删其推特粉丝汤加附近海域发生6.4级地震斯诺登密会德议员 称愿为NSA窃听事伊拉克总理会晤奥巴马 望美售武对抗“王毅夫人发起扶贫义卖 筹款用于解决云王毅夫妇掏腰包助阵“国际义卖”(图)中纪委监察部特邀40名监察员 包括各沙特一监狱发生暴动致3人受伤大马士革郊区炸弹爆炸至少10人死亡人民日报曝陆军第12集团军一战士训练中国每年新增癌症患者占全球20% 多北京出租车“小费”软件流行 高峰时乘中国这次做了啥?美防长竟发出战争威胁韩国取缔68家旅行社接团资格,我们怎朝鲜攻美要逆天?原油市场步步危机!减肥很简单科学减肥食谱:一餐不少,照美联储立场转变可有缘故?预测贵金属投普洛药业主力强势拉升涨停!本周静待涨散户注意:A股回踩马上到位,准备低吸牛仔短裤夏装让你凸显纤腰、修饰美腿、味料同源 开启调味料行业3.0时代2016北京车展倒计时 奇瑞参展阵容原洛阳市委书记陈雪枫辞去全国人大代表特朗普:若沙特不反恐,就不买它的油!狭路相逢,美元与大宗商品是时候一决胜虚拟现实(VR)大爆发,上方精心打造全球经济复苏的紧急议题.能不能拯救世低油价并不总是一蹴而就 或成为美国经智能语音干货|语音识别背后是一大波人玩火烧身:美国最大能源企业或将破产中国铁杆突然造访日本:安倍要做冤大头行情走势不明朗,少操作就是赚,大概率美健身夫妇高调炫富,奢靡生活惊呆网友
备案号:鲁ICP备13029499号-2 说三道四 www.s3d4.cn 说三道四技术文摘