说三道四技术文摘-感悟人生的经典句子
说三道四 > 文档快照

招聘开发者常见的九大误区

HTML文档下载 WORD文档下载 PDF文档下载
很多公司在招聘自由职业者和长期性的开发者时往往会忽略他们的安全知识,这是个致命的错误。要知道,正因为你的不小心,最终可能因聘请一位网络新手而给你的代码库带来致命性的灾难。

很多公司在招聘自由职业者和长期性的开发者时往往忽略了他们的安全知识,这是个致命的错误。通常在面试过程中,面试官会站在应聘者能否写出优美的代码角度进行考虑,大多数情况下忽略了安全知识——但也不排除在其离开前会提出关于漏洞方面几个粗浅的问题。仅仅如此是绝对不够的!要知道,正因为你的不小心,最终可能会聘请因一位网络新手而给你的代码库带来致命性的灾难,或者至少会让你失望(花费你大量的时间和金钱)。因此,千万不要犯这样的错误!

许多开发者缺乏对安全知识的理解和经验运用。在面试过程中,如果你发现应聘者有这方面的迹象,那么你需要进一步挖掘并注意提防。你可以提示应聘者应该怎么做来确保网站的安全以及为什么要这么做或者在创建某个网站时应该注意哪些安全问题?

本文列举了九大误解,或许这些误解在你的工作生涯中也曾见识过,我们一起来看下。


一、如果我们使用Web框架,那么不必担心安全问题。

一些流行的框架比如Rails和 Django在编写之初已考虑到安全性问题,并帮助防止常见的漏洞问题。然而,它们并不能阻止业务逻辑出现的缺陷,比如设置产品数量为负数,这就可能给攻击者提供了机会。如果你以非常规的方式使用该框架,它们会努力去保护你,此外,许多安全功能需要由开发者手动实现。

二、我不是很有趣,没人想要攻击我

即便你的公司或应用不是很有价值,访问者或者黑客也可能会攻击您的网站。如果你的网站能够被搜索引擎检索到,并且还有常见的漏洞,那么你的网站已不安全了,已经被攻击了。

比如,2008年,有一连串的自动ASPROX 蠕虫利用网站SQL注入漏洞,以致用户的电脑受到多个恶意脚本的攻击,直到今天仍然有许多网站受到影响。

三、我们已经有了备份,因此无后顾之忧。

尽管网站被攻击后,备份可以帮助你恢复,但它绝不是一个网站安全性良好的、可行性的替代方案。

遭到黑客临时被攻击的网站可能会导致严重的后果,比如,被搜索引擎列入黑名单,敏感的用户数据被盗,网络钓鱼或蠕虫攻击你的访客。此外,即使你把网站备份了,也不能保证其不会再发生了。

四、它是一个内部网络。所以,安全并不重要。

你永远也不能确保威胁不会来自某个雇员或者攻击者以某种方法来获得访问内部网络。

比如,公司内部的CRM或ERP的机密数据被心怀不满的初级员工或者因好奇心缺乏安全意识的员工、临时工因缺乏工作安全性而泄露?攻击者通过你的无线网或者互联网连接而获取网络访问?等等这些都会对你造成潜在威胁。

五、它是安全的,因为通过VPN连接。

尽管用户使用安全的网络连接到你的应用程序,但这并不意味着你的应用程序本身就是安全的。正如我们第四条谈到的内部网络(恶意员工和网络漏洞)。

六、网站使用SSL,因此,它很安全。

如果你的网站使用SSL,它会在你的网站和访问者浏览器之间传输加密数据,尽管它能防止他人拦截未加密的数据,但SSL却无法阻止攻击者利用漏洞来访问你的网站。

七、我想防火墙可以做到!

防火墙实施了一套规则能够控制访问者的IP地址或端口,但却无法阻止访问者利用漏洞访问你的网站。应用防火墙的作用是在HTTP请求级别上但不会查看请求的内容。当正确配置后,防火墙可以帮助减少特定的攻击,比如跨站点脚本或者SQL注入,但不会确保你免受攻击,无法解决根本性问题。更重要的是,黑客会采取很多方法来绕过Web应用防火墙。

八、我们做了渗透测试和源代码分析,因此不需要担心!

渗透测试和源代码分析是编写安全Web应用程序的基本组成部分,但它却不能“包治百病”。重要的是,你不能保证所有的漏洞都能被检测到,因此你需要确保编写安全代码。更重要的是,修复Bug是如此的昂贵,漏洞亦如此,你应该在渗透测试阶段尽可能多地查找漏洞。

九、热门书籍教你如何编写安全代码。

截止到目前,你几乎不可能找到有关编写安全代码方面的编程书籍。开发者利用这些书籍学会Web应用开发,但却无法做到编写安全的Web应用,除非他们已经经历某个应用被黑客攻击或者其在Web安全方面感兴趣。

误解只是个开始!

在招聘开发环节中,检查误解是极其重要的一步,开发者可以编写安全的代码,但这只是众多步骤中的第一步。文中提及的这九大误区,希望对你有所帮助。

英文出自:Scantosecure

在VB中存取数据库中的图片 Access97的报表解决方案-VB资料 Access下如何使用通用对话框-VB资料 ADO简介 -VB资料 ADO三大对象的属性、方法、事件及常数(二)-VB资料 ADO三大对象的属性、方法、事件及常数(三)-VB资料 ADO三大对象的属性、方法、事件及常数(一)-VB资料 Data 控件使用有密码的 Access 数据库 -VB资料 Excel、Access、VB的结合应用 Microsoft SQL Server 7.0安装问题(二)-VB资料 主题: MDB文件的导出 使用 DAO-VB资料 Microsoft Access秘密、技巧和陷阱-VB资料 SQL的基本操作(1.数据类型) -VB资料 SQL的基本操作(2.数据库的相关操作)-VB资料 SQL的基本操作(3.表的相关操作) -VB资料 SQL的基本操作(4.数据的检索)-VB资料 SQL在VB中的使用及访问远程数据库 Text 转换为 Access MDB -VB资料 VB5.0数据库基础 非编程方式访问数据库-VB资料 VB用编程方式访问数据库 VB 5.0数据库设计技术讲座(4) VB5.0数据库编程经验小集 VB5在处理数据库时的几个“BUG” VB6.0中的几个新增数据库工具 VB处理数据库时求数据表记录总数的最佳方法 VB访问数据库的方案比较 VB数据库编程经验两则 VB数据库编空字段的处理 VB数据库多字段记录的录入 VB数据库记录查询四法 用VB如何设计好的报表,欢迎讨论! messagedlg能不能显示中文?例如显示“确定”,而不是“ok” 各位高手!!请教一个有关在oracle8i中建立表与表之间的关系? 请问哪里有无时间期限的Setup Factory 下载? 笨呆呆,拿分。 请问到那里可以下载uml工具,如果再有推荐的话是一定可以得分的 再次有请: playyuer 吴文智、袁飞、Jneu、Amoon、ttyp、icevi、progame、Jinesc 等各路高手 偶是初学者,问一个问题 SOS,很严重windows的问题,高手快进 复制Access数据库时出现的问题 如何动态添加TQuery的字段??? 编译一问 SOS,很严重windows的问题,高手快进 !!! 有人开发过基于winpcap的网络抓包程序么? SOS,很严重windows的问题,高手快进 ! 通过双网卡上网怎么设置? 一名初学者的问题? 各位老大,如何控制windows的资源管理器显示/不显示后缀名 问一下现在4000元可以买到大概什么配置的笔记本电脑 谁知道用VC++直接操作硬盘?告诉我一声,多谢了 请问考OCP的12本宝典在哪里下载?有人能介绍介绍经验吗?谢谢! Nobody can help me? 去考MCSD我合格吗? 怎样让程序自动修改IE中htm文件? !!!andyting!!!!过来拿分!!!!!! 请问各位大陆市场有没有<>? 请问学习vb有什么好书吗?请高手们帮帮忙,推荐几本好书?谢了!~ 谁知道生成随机数的算法 ListView问题 急急急急急急急急急急急急急急急急急急!!!! 如何向Access数据库中加入图片并从数据库中读出显示? 急,请问如何查询多个表(这些表有公共字段)查询结果按公共字段生成输出表单 请问关于利用JSP转换成HTML格式的问题 格了C:... 我装了Xteam linux kernel版本为:2.4.2,可是启动的时候屏幕上竟是0101010101010101,但用引导盘启动就可以的. 请高手们指点 "afx"是什么意思? 钩子函数里:GETMESSAGE????hook问题 大家帮帮忙!!我用vc中的Win32 console application调试c++程序时,输出的结果总是看不到,一出来就不见了啊!怎么办啊????急!!!!! 请教高手TDataSource的问题????????????????????????????????? TShockWaveFlash控件怎么样在播放时屏蔽其右键?另外怎么样让它在播放时单击鼠标让其播放结束?( Delphi版中没人回答 ,到这儿来试试) 谁有pb6.5的源代码,偶初学pb,想参考一下,最好是access或sql的,偶愿意送300分/个 LPWSTR-CString的相互转化? SQL语句问题,请指教。 我算不算“蓝领”? unix下面怎么实现多线程?可不可以发个例子给我?我的邮箱是caochao@powerise.com.cn 如何将数组中的一个元素附以二进的值 又来送分了! 请问用水晶报表设计报表的VB程序,安装时是不是一定要装水晶报表,如果不,安装应该怎么办? ListView问题:怎样在程序中自动选择LISTVIEW控件的某项或某些项? 怎样用VC设置在窗口区域内的鼠标形状? 名家好段摘抄要摘抄,一定要成段的! 英语题膜拜大神们 ★粗盐提纯★实验报告★名称 目的(?) 器材 现象(真奇怪 这个有吗) 结论(?)问题与讨论(问题为“提纯后的粗盐就是纯净的NaCl吗 还有什么成分 如何除杂质”)关键是 目的 现象 结论 求优美的文章,像《紫藤萝瀑布》这样优美的文章 膜拜各路英语大神 粗盐提纯的实验报告,写出实验器材,实验过程和实验目的 名人读书的故事,用来摘抄的.急用,作业,不然,玩完. 英语翻译Every Saturday night Mama would sit down by the table and count out the money Papa had brought home.Mama would carefully divide big groups for the housing,and food,and one or two coins for Nels or me -Katrin to buy notebooks.With breathle 铝酸的化学式是什么?还有铝酸铋怎么写的? 求名家作文用来摘记找一些名家的作文越多越好可以是北岛 老舍等等 作文字数不要太多通俗易懂 玻璃棒在配制一定浓度的氯化钠溶液与粗盐提纯的实验中所起的作用有什么不同? 如何从化学式上判断原酸和偏酸 如何提纯氯化钠中混有的硝酸钾 膜拜各位大神先,求几首好听的英文歌 ~ ~ ~ 含酸的化学式中一定要有什么 摘抄美文 带文章的题目和作者的名字. c选项为什么错 c 选项为什么错 高中语文名著摘抄5句 体育考了 D 其他是 英语B B B 综合素质A我是寒亭的 对氯化钠进行提纯.实验步骤为:①将粉末溶解在适量的水中;②往溶液中加入足量的氯化钡溶液;③再往溶液中加入足量的碳酸钠溶液;④过滤;⑤取滤液,往滤液中加入足量的试剂X,使溶液 提纯混有少量氯化钠的硝酸钾固体 C选项怎么错了? nacl的提纯结晶nacl时为什么不能一次蒸干,还要过滤后再蒸?先是加了hcl蒸到快干时又过滤了是什么意思? 常温下,将0.1mol/L氢氧化钠溶液与0.06mol/L硫酸溶液等体积混合,该混合溶液的pH等于多少? 提纯硝酸钾中混有少量氯化钠是将谁提出来 A,C选项怎么错了抗甲型H1N1流感的有效药物“达菲”可用莽草酸(化学式C7H10O5)制取.有关莽草酸的说法中正确是 A.该物质是由22个原子构成的 B.其中氢元素的质量分数最大C.氢、氧元素的 水的电离和溶液的酸碱性 向纯水中加入酸或碱 水电离出的H+与OH-的量如何变化?酸碱里举一例说明即可. 下列有关电解质溶液中微粒的物质的量浓度关系正确的是D.常温下,CH3COONa和CH3COOH混合溶液[pH=7,c(Na+)=0.1mol·L-1]:c(Na+)= c(CH3COO-)> c(CH3COOH)> c(H+)= c(OH-) C选项怎么错了,为什么 硝酸钾中含有少量氯化钠的提纯方法 高中化学 选项B为什么是错误的. 粗盐中含有MgCl2和CaCl2而带苦味和涩味.请你设计方案,尽量少地损失NaCl而使粗盐得到提纯. 已知KNO3中混有少量的NaCl 提纯的步骤是加水溶解 蒸发浓缩 降温结晶 过滤 洗涤 干燥蒸发浓缩和降温结晶什么意思啊 谁教下 高中化学,A为什么不对?为了探究常见金属单质M与盐溶液的反应,某同学进行了下列实验,实验过程及现象如图所示,结合实验现象判断,该同学得出的下列结论中正确的是( )A,加入的金属M不 粗盐提纯NaCl的流程是什么 提纯混有NaCl的KNO3的方法具体操作是怎么样的? 高纯度单晶硅做计算机芯片是因为其有良好导电性 粗盐提纯后氯化钠质量有没有减少 高中化学,答案是C,求解析,感谢! 求又能当高中语文摘抄又好看的小说 第五题第六题的化学式 答案是c,不懂为什么,高中化学 关于初中化学实验——粗盐提纯(疑问现象)今天在化学实验室做提纯实验,第一次失败了.我在操作几个步骤中,都是严格按照初中教材书上所说,溶解、过滤、蒸发、称量.可是在蒸发步骤时, 若检测到牛奶中的氮元素的质量分数≥0.46%,即为蛋白质含量检测合格.某种不合格牛奶中氮元素的质量分数为0.36%,若向1000g该牛奶中加入2g三聚氰胺,请计算此时牛奶中氮元素的质量分数.我 将0.2mol氧化锰和50ml 12mol/L盐酸混合后缓缓加热,反应完全后向留下的溶液中加入足量硝酸银溶液,生成的氯化银沉淀物质的量为(不考虑盐酸的挥发)A 等于0.3molB 小于0.3molC 大于0.3mol,小于0.6molD 提纯粗盐的步骤和实验现象,结论, 初三化学求物质化学式试题解析 提纯含有少量硝酸钾的氯化钠固体rt 高一粗盐的提纯实验设计方案 要求是表格形式 步骤、现象、结论、化学方程式.表格形式表格内容有步骤、现象、结论、化学方程式 化学式练习题 (9 20:46:24)1.某金属的硝酸盐的式量为m,该金属相同价态的氯化物的式量为n,则该金属元素的化合价数值是多少?2.某有机化合物6g,在空气中完全燃烧后生成8.8gCO2和3g水,若该化合物 而要从含有少量氯化钠的硝酸钾溶液中提纯硝酸钾,一般采用什么? 粗盐提纯的步骤和现象rt 第4题和第6题. 当硝酸钾中含有少量氯化钠时,可用 法提纯硝酸钾 C,D选项求解释 如何写化学粗盐提纯的实验报告? 求名家美文摘抄!大约四段就够了,要有感受和评论,要写明出处………………火速! 求说明C选项正确的原因 粗盐提纯实验报告要详细一点的,其内容包括:1.实验目的2.实验仪器和药品3.实验步骤(现象)4.实验结果5.问题与讨论(误差分析)
备案号:鲁ICP备13029499号-2 说三道四 www.s3d4.cn