说三道四技术文摘-感悟人生的经典句子
说三道四 > 文档快照

招聘开发者常见的九大误区

HTML文档下载 WORD文档下载 PDF文档下载
很多公司在招聘自由职业者和长期性的开发者时往往会忽略他们的安全知识,这是个致命的错误。要知道,正因为你的不小心,最终可能因聘请一位网络新手而给你的代码库带来致命性的灾难。

很多公司在招聘自由职业者和长期性的开发者时往往忽略了他们的安全知识,这是个致命的错误。通常在面试过程中,面试官会站在应聘者能否写出优美的代码角度进行考虑,大多数情况下忽略了安全知识——但也不排除在其离开前会提出关于漏洞方面几个粗浅的问题。仅仅如此是绝对不够的!要知道,正因为你的不小心,最终可能会聘请因一位网络新手而给你的代码库带来致命性的灾难,或者至少会让你失望(花费你大量的时间和金钱)。因此,千万不要犯这样的错误!

许多开发者缺乏对安全知识的理解和经验运用。在面试过程中,如果你发现应聘者有这方面的迹象,那么你需要进一步挖掘并注意提防。你可以提示应聘者应该怎么做来确保网站的安全以及为什么要这么做或者在创建某个网站时应该注意哪些安全问题?

本文列举了九大误解,或许这些误解在你的工作生涯中也曾见识过,我们一起来看下。


一、如果我们使用Web框架,那么不必担心安全问题。

一些流行的框架比如Rails和 Django在编写之初已考虑到安全性问题,并帮助防止常见的漏洞问题。然而,它们并不能阻止业务逻辑出现的缺陷,比如设置产品数量为负数,这就可能给攻击者提供了机会。如果你以非常规的方式使用该框架,它们会努力去保护你,此外,许多安全功能需要由开发者手动实现。

二、我不是很有趣,没人想要攻击我

即便你的公司或应用不是很有价值,访问者或者黑客也可能会攻击您的网站。如果你的网站能够被搜索引擎检索到,并且还有常见的漏洞,那么你的网站已不安全了,已经被攻击了。

比如,2008年,有一连串的自动ASPROX 蠕虫利用网站SQL注入漏洞,以致用户的电脑受到多个恶意脚本的攻击,直到今天仍然有许多网站受到影响。

三、我们已经有了备份,因此无后顾之忧。

尽管网站被攻击后,备份可以帮助你恢复,但它绝不是一个网站安全性良好的、可行性的替代方案。

遭到黑客临时被攻击的网站可能会导致严重的后果,比如,被搜索引擎列入黑名单,敏感的用户数据被盗,网络钓鱼或蠕虫攻击你的访客。此外,即使你把网站备份了,也不能保证其不会再发生了。

四、它是一个内部网络。所以,安全并不重要。

你永远也不能确保威胁不会来自某个雇员或者攻击者以某种方法来获得访问内部网络。

比如,公司内部的CRM或ERP的机密数据被心怀不满的初级员工或者因好奇心缺乏安全意识的员工、临时工因缺乏工作安全性而泄露?攻击者通过你的无线网或者互联网连接而获取网络访问?等等这些都会对你造成潜在威胁。

五、它是安全的,因为通过VPN连接。

尽管用户使用安全的网络连接到你的应用程序,但这并不意味着你的应用程序本身就是安全的。正如我们第四条谈到的内部网络(恶意员工和网络漏洞)。

六、网站使用SSL,因此,它很安全。

如果你的网站使用SSL,它会在你的网站和访问者浏览器之间传输加密数据,尽管它能防止他人拦截未加密的数据,但SSL却无法阻止攻击者利用漏洞来访问你的网站。

七、我想防火墙可以做到!

防火墙实施了一套规则能够控制访问者的IP地址或端口,但却无法阻止访问者利用漏洞访问你的网站。应用防火墙的作用是在HTTP请求级别上但不会查看请求的内容。当正确配置后,防火墙可以帮助减少特定的攻击,比如跨站点脚本或者SQL注入,但不会确保你免受攻击,无法解决根本性问题。更重要的是,黑客会采取很多方法来绕过Web应用防火墙。

八、我们做了渗透测试和源代码分析,因此不需要担心!

渗透测试和源代码分析是编写安全Web应用程序的基本组成部分,但它却不能“包治百病”。重要的是,你不能保证所有的漏洞都能被检测到,因此你需要确保编写安全代码。更重要的是,修复Bug是如此的昂贵,漏洞亦如此,你应该在渗透测试阶段尽可能多地查找漏洞。

九、热门书籍教你如何编写安全代码。

截止到目前,你几乎不可能找到有关编写安全代码方面的编程书籍。开发者利用这些书籍学会Web应用开发,但却无法做到编写安全的Web应用,除非他们已经经历某个应用被黑客攻击或者其在Web安全方面感兴趣。

误解只是个开始!

在招聘开发环节中,检查误解是极其重要的一步,开发者可以编写安全的代码,但这只是众多步骤中的第一步。文中提及的这九大误区,希望对你有所帮助。

英文出自:Scantosecure

Loopjoy:让开发者在移动游戏里贩售真货 iPhone 5S真机照片泄露 明年初上市 Beeline:从“蓝精灵村庄”到“捉鬼敢死队” Windows Server 2012域服务的六大改进 如何编写出优美的JavaScript代码? Unity CEO:不会因赌博游戏谋取金钱利益 云领域:且看亚马逊、Rackspace、微软及谷歌四国争霸 十一位EMC高管读2013技术趋势 你准备好了吗? Yahoo:拥抱Hadoop和HTML5 苹果聘女黑客为系统安全员 曾让Vista推迟发布 移动游戏定价之谜:0.99美金行不通 9.99美金和19.99美金才是王道 2012末日年:《时代》评选年度十大App 使用HTML5 Web存储实现离线工作 紧跟亚马逊、谷歌步伐 微软下调Azure云服务价格 云计算一周热点回顾:Hadoop专家分享大数据技术工具与最佳实践 Python之父Guido Van Rossum离开谷歌 一月加盟Dropbox 图灵奖获得者Butler Lanpson:计算机在做些什么 华为高级技术经理Anoop Sam John:HBase的二级索引 秦令今:技术是竞争的核心,形成自己的特色! 兰旭:拒绝同质化,做自己的真材实料! Cloud Foundry直面PaaS对手 初具商用能力 IndieBros访谈:探寻《2+18+200万》背后的故事 移动周报:生存还是毁灭 HTML5未来路在何方? 开发者的新机遇:微软生态系统打开开源大门 阻碍创新:谷歌、Facebook请求驳回抽象专利概念 Apple专利战分析:战火不停 创新不止 史上最牛独立开发者:花20美元狂赚100万美元 Twitter VS. Instagram:照片分享大战爆发 第二届“龙芯杯”中国开源软件设计大赛圆满落幕 TUP Masters第六期实录:Jeffrey Richter讲解Win8应用开发与.NET4.5 [简讯]Bootstrap 2.2.2发布 官博宣布新特性 关于界面对象丢失的问题…… 请大家看看这个问题。 我真的很需要帮助。。。请问谁有360度可以许多张图片旋转的代码 360度全景特效 高分求树型结构源代码 现在出了本Jbuilder5的书。有没有谁有这本电子书啊? 高分求树型结构源代码 SDK问题 这句sql有问题吗? 关于驱动程序开发! 在SQL-SERVER中出现数据死锁的情况一般是什么,若是由多个用户同时向数据库更新数据而导致的死锁,解决此问题的办法有那些? 寻找源代码排版软件? 有没有用VC写过短信接收程序,我在接收中文时出现乱码。 请教大虾:用mideaplayer来播放一首歌,如何用progressbar来表示进度? 我想学习驱动程序的开发,请大家帮我推荐几本这方面的书? 编译出错,不解?请高手指点。 能否用Delphi 实现类似东石公司的虚拟光驱系统。 我想学习驱动程序的开发,请大家帮我推荐几本这方面的书? include头文件的问题 急!!!为什么TBlobField 下载时大小受限制,怎么解决? 关于导出动态连接库中的类的问题,不知道这里有没有高手? 一个让我痛苦了n天的问题 关于Hook的一个问题 联合查询如何修改? 获取密码时出错???? my gf photo 我想问一下,java生成的.class文件能不能通过某种工具生成.exe文件? VC中组合框为什么不能下拉? 请问哪有最新的wise for window .net的版本可以下载 "java原型开发"指得是什么开发? 能否用VC++实现类似东石公司的虚拟光驱系统 请问会话Bean和实体Bean的区别在那?能给出例子吗? word文档如何存入SQL SERVER 2000? 请问如何才能在windows 2000 server 上装MTS? 有女朋友而且上网和别的mm聊天的入内签名! 如何显示不同的颜色... 有关网络开发和com的问题,高分征集关注和提供方案! 探讨一下safearray 的使用问题 关于QQ界面的制作? 在主界面中添加一副图片的问题被遮住的问题 有一个EXE执行时,我希望能删除它自己 如何在程序中获取IE当前浏览网页的IP地址或域名地址? 有南京的兄弟吗?我想买《delphi4编程技术内幕》,就是Charlie Calvert那本精华。 如何在工具条上加载图片作为工具条的背景 怎样来写这个数据连接? dbgrid里的赋值问题 Borland自带的ADO例子为什么也出错啊? pb 出现 maximum script size exceeded 保存错误 愿意到上海的软件高手可以来看看,真是没想到 我这里有一个链表类,我怎么在别的文件中使用它呢? CArray的问题? 编译器出问题了! 金属元素的原子是易失去电子还是易得到电子?作什么剂 体积为5X10-4立方米,重为4牛的小球静止在水面上,求(1)小球收到的浮力大小 (2)小球排开水的体积是多少? 为什么要确立“事物的正确答案不止一个”的思维方式?作者是用怎样的论证方法来阐明这一事理的? 两颗靠得较近的天体称为双星,它们以两者的连线上某点为圆心做匀速圆周运动A他们作匀速圆周运动的半径和其质量成正比B他们做匀速圆周运动的向心加速度大小相等C他们作匀速圆周运动的 单质铁与溴共热反应方程式 《事物的答案不止一个》:第三段是怎样确立”事物的答案不止一个“的思维方式的重要性- - 0.1mol某单质与足量的硫在一定条件下充分反应后,质量增加了3.2g,则该单质可能是?K Fe Cu Mg Na Al 碘化钾和溴单质怎么反应,方程式. 金属置换反应是不是要前面的活动顺序大于后面的:就好像ZN+CUSO4==·······那换过来可以吗 就是:CU+ZNSO4==````````` 大自然中事物互相联系“打扫”森林从前,德国有个林务官,刚上任,就下了一道命令:把森林“打扫”干净.护林工人只好照着他的命令去做,把灌木统统砍光,把杂草统统除尽,连地上的枯枝烂叶 高中数学定理列表有吗? 例如容斥原理,抽屉原理…… 大自然中一切事物都是互相联系着,能举几个例子来证明这一点吗? 《事物的正确答案不止一个》论点及论证方法 (1-2x)^7=a0=a1x+a2x^2+……+a7x^7求|a0|+|a1|+|a2|+……+|a7| 爱 是什么?续写句子 写出的例子必须是大自然里的事物要求写两处 《事物的正确答案不止一个》的中心论点是什么?2011-12-24 16:23 提问者:爱笑的樱桃小嘴 | 浏览次数:2次到底是“事物的正确答案不止一个”,还是“每个人都应有创造性思维”?好像:“事物 中和1MOL磷酸需要多少MOL的NAOH?书上说1MOL的P2O5与热水形成的酸需6MOL的NAOH中和.这种酸是不是就是磷酸?磷酸不是三元酸吗,为什么需要6MOL? 提纯溴化苯与硝基苯 相关问题为什么提纯硝基苯最后是蒸馏?而溴化苯最后是分液? 事物的正确答案不止一个的论点是什么? 求1mol磷酸和2.7mol氢氧化钠的反应方程式 两颗靠得较近的天体组成双星,它们以两者连线上某点为圆心两颗靠得较近的天体称为双星,它们以两者的连线上某点为圆心做匀速圆周运动,因而不至于由于引力作用而吸在一起.关于双星,下 接诗句(一首夏天的古诗)仲夏苦夜短,__________________ 如何证明氧气不易溶于水 苯与溴,铁屑反应方程式 为什么要确立事物的正确答案不止一个的思维方式? 有两颗星,设二者的质量分别为m1和m2,相距L,试求出他们角速度的表达式 请问硝基苯是否溶于甲基丙烯酸-β-羟丙酯硝基苯 C6H5NO2 甲基丙烯酸-β-羟丙酯 C7H12O3 两者是否互溶?是否会产生反应? 高中数学八个定理的内容几何里的 双星运动的两物体质量为M1和M2,相距为L, 溴代苯与氯反应方程式 将5ml 0.1mol/L的NAOH溶液 ,配置mol/L溶液时,应向原溶液中加水到多少mol配置0.005mol/L 高中数学定理和性质用于证明吗.还是只有定理用于证明 写出苯与溴在铁存在的情况下反应的方程如题! 将5ml 0.1mol/L的NAOH溶液 ,配置0.005mol/L溶液时,应向原溶液中加水到多少mol 用什么除去乙烷中混有的乙烯? 《事物的正确答案不止一个》本文的论证思路是 先将5ml 0.1mol/L的NaOH溶液,配置成0.005mol/L溶液时,应向原溶液中加水( )ml 既可以用来鉴别乙烷和乙烯,又可以用来除去乙烷中混有的乙稀,得到纯净乙烷的方法有什么 0.1摩尔某单质跟足量的硫充分反应后,其质量增加1.6克,则组成这种单质的元素可能是( )A Cu B Al C Zn D Fe 一个物体的体积是5*10ˆ-4立方米,完全浸没在水中时,受到浮力多少牛 为什么金属与金属化合物溶液发生置换反应时,金属化合物必须溶于水 对硝基苯甲酸乙酯在碱性条件下稳定吗? 单质溴和氢氧化钠的反应热? A是一种红棕色金属氧化物 BD是金属单质 J是一种难溶于水的白色化合物 受热后容易发生分解B(高温)~HCI溶液~加热C naoH溶液~I ~HCI溶液~氨水溶液~F(白色沉淀) 空气中~G 用对硝基苯甲酸乙酯来制备对氨基苯甲酸乙酯的反应中为啥要用冰醋酸而不用盐酸 事物的正确答案不止一个 的论证过程是什么? 我要具体的 金属化合物的问题.某化学成分是可溶性的碱式碳酸盐的胃酸药物,表示为My(OH)zCO3· 4H2O,其中M代表某金属元素.取该碱式盐若干,逐滴加入某浓度的盐酸使其溶解,当加入盐酸42.5ml时开始产生CO2,加 宇宙中两颗相距较近的天体称为“双星”它们以二者连线上某一点为圆心做匀速圆周运动,而不至因万有引力的作用吸引到一起.设二者的质量分别为M1和M2,二者相距L,求两者的轨道长度,(记住 乙烯和乙烷能分离吗?能不能分离?如果能的话怎么分离?能否先用氯化氢加成,得到乙烷,再将氯乙烷消去反应得到乙烯。乙烯能与氢卤酸加成吗?跟卤化氢是否得到液态物质? 请论证一个观点:西方思维方式比中国传统思维方式优越400字左右 粗制对硝基苯甲酸若不提纯,直接与无水乙醇等反应,来制备对硝基苯甲酸乙酯,会对结果有何影响?我做出的结果很奇怪,只有一些油滴,按道理,总会有些固体的呀. 事物的正确答案不止一个主要论述了什么问题 尽量是课本之外的, bs 86 1 0.1mol某单质与足量硫充分反映,质量增加了1.6g,则组成这种单质的元素可能是A铁 B铜 C铝 D钾 为什么是BD 举例 事物的正确答案不止一个 为什么要确立“事物的正确答案不止一个” 生物与环境的关系包括哪些方面? 一个重为3牛体积为0.0005的小球,浸在水里静止后受到的浮力是多少(g=10n/kg) 正确的答案不止一个 的思维模式有什么弊端 针对它作者提出了什么看法 为什么要确
备案号:鲁ICP备13029499号-2 说三道四 www.s3d4.cn 说三道四技术文摘