说三道四技术文摘-感悟人生的经典句子
说三道四 > 文档快照

招聘开发者常见的九大误区

HTML文档下载 WORD文档下载 PDF文档下载
很多公司在招聘自由职业者和长期性的开发者时往往会忽略他们的安全知识,这是个致命的错误。要知道,正因为你的不小心,最终可能因聘请一位网络新手而给你的代码库带来致命性的灾难。

很多公司在招聘自由职业者和长期性的开发者时往往忽略了他们的安全知识,这是个致命的错误。通常在面试过程中,面试官会站在应聘者能否写出优美的代码角度进行考虑,大多数情况下忽略了安全知识——但也不排除在其离开前会提出关于漏洞方面几个粗浅的问题。仅仅如此是绝对不够的!要知道,正因为你的不小心,最终可能会聘请因一位网络新手而给你的代码库带来致命性的灾难,或者至少会让你失望(花费你大量的时间和金钱)。因此,千万不要犯这样的错误!

许多开发者缺乏对安全知识的理解和经验运用。在面试过程中,如果你发现应聘者有这方面的迹象,那么你需要进一步挖掘并注意提防。你可以提示应聘者应该怎么做来确保网站的安全以及为什么要这么做或者在创建某个网站时应该注意哪些安全问题?

本文列举了九大误解,或许这些误解在你的工作生涯中也曾见识过,我们一起来看下。


一、如果我们使用Web框架,那么不必担心安全问题。

一些流行的框架比如Rails和 Django在编写之初已考虑到安全性问题,并帮助防止常见的漏洞问题。然而,它们并不能阻止业务逻辑出现的缺陷,比如设置产品数量为负数,这就可能给攻击者提供了机会。如果你以非常规的方式使用该框架,它们会努力去保护你,此外,许多安全功能需要由开发者手动实现。

二、我不是很有趣,没人想要攻击我

即便你的公司或应用不是很有价值,访问者或者黑客也可能会攻击您的网站。如果你的网站能够被搜索引擎检索到,并且还有常见的漏洞,那么你的网站已不安全了,已经被攻击了。

比如,2008年,有一连串的自动ASPROX 蠕虫利用网站SQL注入漏洞,以致用户的电脑受到多个恶意脚本的攻击,直到今天仍然有许多网站受到影响。

三、我们已经有了备份,因此无后顾之忧。

尽管网站被攻击后,备份可以帮助你恢复,但它绝不是一个网站安全性良好的、可行性的替代方案。

遭到黑客临时被攻击的网站可能会导致严重的后果,比如,被搜索引擎列入黑名单,敏感的用户数据被盗,网络钓鱼或蠕虫攻击你的访客。此外,即使你把网站备份了,也不能保证其不会再发生了。

四、它是一个内部网络。所以,安全并不重要。

你永远也不能确保威胁不会来自某个雇员或者攻击者以某种方法来获得访问内部网络。

比如,公司内部的CRM或ERP的机密数据被心怀不满的初级员工或者因好奇心缺乏安全意识的员工、临时工因缺乏工作安全性而泄露?攻击者通过你的无线网或者互联网连接而获取网络访问?等等这些都会对你造成潜在威胁。

五、它是安全的,因为通过VPN连接。

尽管用户使用安全的网络连接到你的应用程序,但这并不意味着你的应用程序本身就是安全的。正如我们第四条谈到的内部网络(恶意员工和网络漏洞)。

六、网站使用SSL,因此,它很安全。

如果你的网站使用SSL,它会在你的网站和访问者浏览器之间传输加密数据,尽管它能防止他人拦截未加密的数据,但SSL却无法阻止攻击者利用漏洞来访问你的网站。

七、我想防火墙可以做到!

防火墙实施了一套规则能够控制访问者的IP地址或端口,但却无法阻止访问者利用漏洞访问你的网站。应用防火墙的作用是在HTTP请求级别上但不会查看请求的内容。当正确配置后,防火墙可以帮助减少特定的攻击,比如跨站点脚本或者SQL注入,但不会确保你免受攻击,无法解决根本性问题。更重要的是,黑客会采取很多方法来绕过Web应用防火墙。

八、我们做了渗透测试和源代码分析,因此不需要担心!

渗透测试和源代码分析是编写安全Web应用程序的基本组成部分,但它却不能“包治百病”。重要的是,你不能保证所有的漏洞都能被检测到,因此你需要确保编写安全代码。更重要的是,修复Bug是如此的昂贵,漏洞亦如此,你应该在渗透测试阶段尽可能多地查找漏洞。

九、热门书籍教你如何编写安全代码。

截止到目前,你几乎不可能找到有关编写安全代码方面的编程书籍。开发者利用这些书籍学会Web应用开发,但却无法做到编写安全的Web应用,除非他们已经经历某个应用被黑客攻击或者其在Web安全方面感兴趣。

误解只是个开始!

在招聘开发环节中,检查误解是极其重要的一步,开发者可以编写安全的代码,但这只是众多步骤中的第一步。文中提及的这九大误区,希望对你有所帮助。

英文出自:Scantosecure

中国第一个云主机评测发布:天翼云性价比第一、青云质量第一 Ruby 2.1.3发布,降低内存消耗、修复众多Bug! OpenHW2014开源硬件总决赛鏖战西安 AMD力推异构计算 《坦克世界:闪电战》:PC转手游,不止免费! 【讲师】道里云毛文波:网络虚拟化与SDN实现Docker连通 性能测试:SequoiaDB vs. MongoDB vs. Cassandra vs. HBase 华云数据推运营型PaaS Plus平台,联合Tmax走出“去IOE”的云化之路 聚焦移动新势力 MDCC 2014免费展位团队名单公布 详解Google Authenticator工作原理 云计算的乐高玩具,Docker从根本上改变应用程序开发 【先锋】eSage缔造异构虚拟化管理技术,做数据中心核心思想执行者 Uplinq2014:亲身体验Vuforia与智能眼镜设备 MDCC 2014 移动开发者大会议程全面揭晓! 顺丰模式:物流行业“互联网化”的科技之路 移动应用云服务工具APICloud宣布完美适配iPhone6 从应用分发到能力开放 华为开发者联盟沙龙上的共赢理念 SOOMLA框架:移动游戏分分钟创建个虚拟商店 Facebook:如何让应用适合所有系统、带宽以及屏幕 Docker实践者不能错过2014 Container技术大会的九大理由!(讲师议题全面揭晓) 2014全球云计算大会中国站(CC China)精彩集锦 腾讯X5浏览服务正式开放 30多款APP成为首批受益者 Node.js设计经验谈 LeanKanban University首位中国认证讲师路宁:看板会为更多国内企业带来深刻变革 环信IM沙龙纪实:无分享不IM,无社交不未来 【工具推荐】ESL:更简洁、更高效的标准加载器 【先锋】亲加通讯云:以云服务模式为App提供社交引擎 2014中国移动开发者大调查第一批获奖名单大曝光 移动开发云服务AVOS Cloud宣布完成A轮融资 Uplinq2014:人工智能嵌入硬件 万物互联建生态 Uplinq2014:基于Vuforia的新奇智能玩具 一应俱全!开源跨平台3D应用开发框架Minko 用VC的console application 到底能编多大的程序? 关于程序在初始化时候注册窗口类的问题? 上网很慢 请问从log文件里都能得到哪些信息? 系统设计一般把数据表放一个数据库中还是分到多个数据库中? 树型控件的问题,PB8.03版本,大家遇到过吗? 强烈支持雍亲王倒分!!(江湖无赖) 怎样调用VC写的DLL 同步 兄弟们,我的rh8中怎么没有中文输入法? 在access中如何用函数?我怎么找不到函数库啊。那里有关于access的函数库教程? 请教 我装的DELPHI7.0不知为何在区域设置为“英文”是看到的汉字都成了“????”? <iframe>如何改变大小? 关于水晶报表的问题!(急!!!!)(在线等待~~~~~~~~) 关于vb脚本中运用三角函数的问题 一个三百年前已忘得一干二净的问题 cbc+数据库的问题????????? 能不能控制<input type='fele' ...>的文件类型,如不可输入(readonly全部都不能用了) 在线等待:谁有个最简单的加密算法? 谁有More Effective中文电子书! 请教一段java计时器的问题(送分了) 在ASP中能不能引用.net的框架组件,能的话该怎么做? 占便宜歌 不想周末加班了,帮我啊兄弟们! 小弟是2003年毕业生,想找个软件工程师工作,不知道有什么要求? 一个简单的添加记录语句,求解! 请问通常所说的“横表”“纵表”指什么。 我想在菜单显示之前将其文字都更改掉在哪个函数中写?? 各位高手快来指点一下,是关于动态创建组件的! http://expert.csdn.net/Expert/topic/1180/1180423.xml?temp=.7148706 各位高手快来指点一下,是关于动态创建组件的! http://devserver/mail/abc.nsf?login&Username=abc&Password=12345678 如何得到已有exe文件中的菜单资源,并且添加新的item(UP无分) 在线等待:winxp professional中文版的sn? 进度条的颜色能不能换?老是灰的! 求网卡RealTek8029在Solaris8的驱动程序!!!!!! 如何提高记录的入库速度?内见例子 简单问题,容易回答,容易得分,在线等待。谢谢 高手请进,有关MVC(模型-视图-控制器)设计的讨论 客户端配置的问题? 各位高手教两招吧!! 帮我看这个汇编程序,有高分送 关于WIN2000/XP机器收发传真??? 请问学习VC是要以学习C++的语言为主呢,还是要以学习VC++的集成开发环境为主呢? 如何响应asp.net中datagrid的双击事件?或者迂回实现目的? VB60开发IIS出错 static性质 我编了一个c#的程序,要在别人的98上跑,怎么办才能跑? 退出当前for循环而执行后面的循环判断语句怎么写? <embed>都可以加什么属性?怎么捕捉鼠标滚轮的事件? DataSet怎样把一个Access数据库读进来? 拼音打字最快的可以每分钟打几个字? Y我的名字里有一个字是(乞丐的乞) 请问我可以把(乞丐的乞)换成另外一个字吗? 6.A:____ Diana have a new car?B:____ .She has one.A.Does,Yes,she doesB.Do,No,she doesn’tC.Do,Yes,she does满分:4 分7.I am not feeling very well.I ____ the doctor.A.need to seeB.should to seeC.would to see满分:4 分8.A:____?B:I’ve got a ba 拼音打字速度一般每分钟可以打到多少字 世界第一大长河是什么 I don't have______pet cats,but she has________ 如何论证:思想道德修养比知识文化修养更重要? 以保护课桌为题设计标语. I don't have a dictionary so I should __ one __ the library that isn't a watch改为复数形式? 怎样设计保护蓝鲸的标语 bec报名在哪报我是银川的考生 我知道银川没有考点 但是怎么报名呢?银川有报名的地方么?还是要去西安报名? That isn't my CD 改成复数形式 一般西餐正餐的配菜是什么?RT情人节,想给他做一顿正宗可口的西餐,求达人回答, 新疆bec商务英语在哪儿报名我想报名参加.我是六级的英语水平报考中级的应该没有什么太大的问题吧?兰州商学院在哪儿啊?我都没有听说过啊~ 请问2011年BEC高级报名费是多少啊 这种西餐里的配菜是什么西餐牛扒中的一种配菜,请问是是什么 bec怎么报名 2011年bec 高级报名时间如题…有几次报名时间?截止? 西餐配菜有哪些规定 请问,你的BEC 我的名是志明,想起个谐音的英文名字?含义要好Gemin的读音,告诉我英式与美式的音标,Gemin是英文名字:我的名是志明,想起个谐音的英文名字,含义要好 哪个英语单词和butterfly配 BEC报名后应该做些什么? 我叫姜冬阳,想起英文名,要和自己的名字最好有部分谐音或意义相同我一开始取wintersun,被同学嘲笑一番,那可以以此改变吗,我提高选赏了,如果没办法,我再从下列答案中选, 道路行车中干路和支路怎么区分,到底是谁让谁 《小时了了,大未必佳》中孔文举采用什么方式来辩驳陈韪的 如何在实际生活中坚持科学文化修养和思想道德修养的有机结合 西餐 配菜我经常看西餐里有种配菜是长条形的一根或者几根一起绿色的最头上有一点像芽其他地方都是很干净没叶子还是比较长的一根一根的 手机可以打出来这个字吗 六年级上册英语活动手册第16—18页答案 世界上排名第二的长河是什么河? 武则天造了哪些字 材料一:北京师范大学心理系儿童研究专家舒华教授公布:很多孩子的学习问题是由阅读问题引起的,很多智力正常的孩子存在不同程度的阅读困难,严重的已经发展成阅读障碍,阅读困难不仅 is that bus red or green?改为复数句 How+many+++(dictionary)+do+you+have? 空调电功率这两张图片分别是挂机和柜机的,3台柜机和10点挂机总共需要多少电功率,懂得麻烦告诉一下,/> 一个口字里面有一个女字怎么打 How many _____[nə:siz] do you have Only one. 怎样去算空调的电功率 一个口,里面有一个女字,就这字怎嘛打出来 武则天另一个名字武瞾有什么含义? 2011年的中级BEC何时开始报名? 车、斤、土组合一个字拼音怎么打 武则天怎么当上皇上的? 2011年BEC中级什么时候报名?在哪里报?在武汉的话在哪里报名呢? 一个口字加一个恩字念什么?怎么打呢?我聊天的时候老打不出这个字~霍霍.. 关于什么风什么雨的成语意思 Who is that policeman over there?(改为复数形式) 世界第六长河是什么河? 国家励志奖学金是几等奖学金,简历上该怎么写 双控开关 (二地控一灯)和三控开关(三地控一灯)怎么接呀?双控开关 (二地控一灯)和三控开关(三地控一灯)怎么接呀?回答的时候麻烦帮画下电路图, 六年级上册英语活动手册第四页和第五页不用了,现在只要第三页的第五题,也就是第四页上面的 在贴吧里面DB 是神马东东? BEC中级报名时间是什么时候呀? 蝴蝶的英语单词(复数) 这个东东叫神马来着, bec中级要准备多长时间,本人高中水平.还有要怎么准备呢 一个口里面有个男字怎么打 国家励志奖学金的基本情况简介,该怎么写?是写个人的基本情况,还是写家庭情况?如题
备案号:鲁ICP备13029499号-2 说三道四 www.s3d4.cn 说三道四技术文摘