说三道四技术文摘-感悟人生的经典句子
说三道四 > 文档快照

招聘开发者常见的九大误区

HTML文档下载 WORD文档下载 PDF文档下载
很多公司在招聘自由职业者和长期性的开发者时往往会忽略他们的安全知识,这是个致命的错误。要知道,正因为你的不小心,最终可能因聘请一位网络新手而给你的代码库带来致命性的灾难。

很多公司在招聘自由职业者和长期性的开发者时往往忽略了他们的安全知识,这是个致命的错误。通常在面试过程中,面试官会站在应聘者能否写出优美的代码角度进行考虑,大多数情况下忽略了安全知识——但也不排除在其离开前会提出关于漏洞方面几个粗浅的问题。仅仅如此是绝对不够的!要知道,正因为你的不小心,最终可能会聘请因一位网络新手而给你的代码库带来致命性的灾难,或者至少会让你失望(花费你大量的时间和金钱)。因此,千万不要犯这样的错误!

许多开发者缺乏对安全知识的理解和经验运用。在面试过程中,如果你发现应聘者有这方面的迹象,那么你需要进一步挖掘并注意提防。你可以提示应聘者应该怎么做来确保网站的安全以及为什么要这么做或者在创建某个网站时应该注意哪些安全问题?

本文列举了九大误解,或许这些误解在你的工作生涯中也曾见识过,我们一起来看下。


一、如果我们使用Web框架,那么不必担心安全问题。

一些流行的框架比如Rails和 Django在编写之初已考虑到安全性问题,并帮助防止常见的漏洞问题。然而,它们并不能阻止业务逻辑出现的缺陷,比如设置产品数量为负数,这就可能给攻击者提供了机会。如果你以非常规的方式使用该框架,它们会努力去保护你,此外,许多安全功能需要由开发者手动实现。

二、我不是很有趣,没人想要攻击我

即便你的公司或应用不是很有价值,访问者或者黑客也可能会攻击您的网站。如果你的网站能够被搜索引擎检索到,并且还有常见的漏洞,那么你的网站已不安全了,已经被攻击了。

比如,2008年,有一连串的自动ASPROX 蠕虫利用网站SQL注入漏洞,以致用户的电脑受到多个恶意脚本的攻击,直到今天仍然有许多网站受到影响。

三、我们已经有了备份,因此无后顾之忧。

尽管网站被攻击后,备份可以帮助你恢复,但它绝不是一个网站安全性良好的、可行性的替代方案。

遭到黑客临时被攻击的网站可能会导致严重的后果,比如,被搜索引擎列入黑名单,敏感的用户数据被盗,网络钓鱼或蠕虫攻击你的访客。此外,即使你把网站备份了,也不能保证其不会再发生了。

四、它是一个内部网络。所以,安全并不重要。

你永远也不能确保威胁不会来自某个雇员或者攻击者以某种方法来获得访问内部网络。

比如,公司内部的CRM或ERP的机密数据被心怀不满的初级员工或者因好奇心缺乏安全意识的员工、临时工因缺乏工作安全性而泄露?攻击者通过你的无线网或者互联网连接而获取网络访问?等等这些都会对你造成潜在威胁。

五、它是安全的,因为通过VPN连接。

尽管用户使用安全的网络连接到你的应用程序,但这并不意味着你的应用程序本身就是安全的。正如我们第四条谈到的内部网络(恶意员工和网络漏洞)。

六、网站使用SSL,因此,它很安全。

如果你的网站使用SSL,它会在你的网站和访问者浏览器之间传输加密数据,尽管它能防止他人拦截未加密的数据,但SSL却无法阻止攻击者利用漏洞来访问你的网站。

七、我想防火墙可以做到!

防火墙实施了一套规则能够控制访问者的IP地址或端口,但却无法阻止访问者利用漏洞访问你的网站。应用防火墙的作用是在HTTP请求级别上但不会查看请求的内容。当正确配置后,防火墙可以帮助减少特定的攻击,比如跨站点脚本或者SQL注入,但不会确保你免受攻击,无法解决根本性问题。更重要的是,黑客会采取很多方法来绕过Web应用防火墙。

八、我们做了渗透测试和源代码分析,因此不需要担心!

渗透测试和源代码分析是编写安全Web应用程序的基本组成部分,但它却不能“包治百病”。重要的是,你不能保证所有的漏洞都能被检测到,因此你需要确保编写安全代码。更重要的是,修复Bug是如此的昂贵,漏洞亦如此,你应该在渗透测试阶段尽可能多地查找漏洞。

九、热门书籍教你如何编写安全代码。

截止到目前,你几乎不可能找到有关编写安全代码方面的编程书籍。开发者利用这些书籍学会Web应用开发,但却无法做到编写安全的Web应用,除非他们已经经历某个应用被黑客攻击或者其在Web安全方面感兴趣。

误解只是个开始!

在招聘开发环节中,检查误解是极其重要的一步,开发者可以编写安全的代码,但这只是众多步骤中的第一步。文中提及的这九大误区,希望对你有所帮助。

英文出自:Scantosecure

如何旋转字体-Delphi资料 如何隐藏和显示Windows的任务条-Delphi资料 如何在DELPHI界面上运行可执行文件 设计Form时的快捷键-Delphi资料 生成非矩形窗口-Delphi资料 时隐时现的鼠标-Delphi资料 无标题窗口的移动-Delphi资料 应用程序敏感键的实现-Delphi资料 用Delphi 4.0 设 计 新 型 界 面 用Delphi 实 现 自定 义 颜 色 对 话 框 及 其 构 件 用Delphi 实现自定义颜色对话框及其构件 用Delphi4实现风Word97风格的工具栏 用Delphi 开 发windows 屏 幕 保 护 预 览 程 序 用Delphi设置墙纸 用DELPHI实现无边界窗体的移动 用Delphi实现自定义颜色对话框及其构件 用DEPHI 3.0实现动画ABOUT窗口-Delphi资料 用鼠标拖动无标题窗口-Delphi资料 在Delphi编程中创建一个启动闪现窗口 在form中想用enter来代替tab,请问如何实现?-Delphi资料 在Listboxes中加背景图-Delphi资料 在Window右下角的添加图标-Delphi资料 在程序中使用自定义的鼠标-Delphi资料 怎样建立简单的任务栏应用程序-Delphi资料 增强DelphiTStatusBar控制 制作Delphi的竖排标签 自适应表单的实现-Delphi资料 COM/DCOM的区别与联系-Delphi资料 CoolBar上控件的排列顺序-Delphi资料 Delphi 4 WebBroker Delphi 中自做动态显示的控件 各位水友,有力的出力,没力的看看,拜托 请从位高手帮小弟解决一个棘手的问题……………………多谢!!!!!!! ALLTEC(荔枝)兄弟,兄弟我接帖太快 :( 請這邊來. ★★★ 救命啊! VC 用ODBC访问 Access 数据库的问题 guo->你在www.linuxforum.net中叫什么?有个guoemail是你吗? 软件发布:市场摊位租赁管理系统Ver1.0 软件发布:量和单位转换软件(免费版) 软件发布:五笔快打 在listview中的各个记录listitem中,有没有双击记录的事件 软件发布:伏羲服装鞋业购销存管理系统 软件发布:进销存商务管理pcft-jxc 征集各地童谣.唤醒儿时记忆! 今天我请客! 有关vb调用excel的问题! 有没有关于BDE的单独的分发程序? VB中报表预览打印能不能实现象EXCEL中一样的“按比例缩放”?如何实现? 单机版流量统计 关于Delphi6的安装问题 动态计算公式怎么实现?? 常用的英文字体是什么? 在通信过程中怎样做到防监听、防篡改? 各位大虾现欲用java开发一套网上投票表决系统 应该看什么书?用什么开发工具?(一定给分!) 关于winsock的问题,急急 怎样使用VB6中TREEVIEW控件? 我真的要疯了! 这里有很多Delphi6的控件! 如何在ASP中传递多个参数?displaymsg.asp?page=1在后面我还想加另外一个参数 有没有喜欢画漫画的? 如何得到ActiveX控件的窗口句柄 请问mif文件格式以及、读写方法?高分求解 sco unix的root口令忘了,谢谢. 在PowerBuilder中使用Microsoft Web浏览器控件 ,这个控件在ole中怎么没有啊? 急盼有人答复!!!!!! 急!急!编译exe时出现:link errors提示 具体提示:create of executable file failed? 小笨笨一问 年年岁岁花相似,岁岁年年人不同 VC++初学者的几个大烦恼!(苦呀,谁来拯救我这个VC小兵?) 请教在DELPHI中调用API发送EMAIL的问题!!!!! 有谁知道没有封闭25端口的美国ISP的地址信息??? 水园的过去现在未来 -- 座谈一下 哭笑沉默怒骂攻击噌分拉关系白脸黑脸等等都欢迎 高分求购速达软件单据编辑的DBGrid组件或设计思想! 发表一下意见,做报表用那个控件好 谁有对话框实现的计算器的源程序? 帮小弟看一下这段程序,不好意思,只有10分了 Delphi多线程有用吗? 初学JAVA,还有一些问题烦劳各位大侠指点? 请教一个c语言库函数问题? 动不动就谈"爱国"的人请进 如何改变开机声音??? 菜鸟有一问题请教 请看一下我的程序错在哪里,好吗? 2+2等于几? 3小时25分等于多少小时,怎么来的 大肠杆菌感受态细胞的制备与转化实验:在转化实验中,涂平板前需要在37度下振荡培养30-60min大肠杆菌感受态细胞的制备与转化实验:在转化实验中,涂平板前需要在37度下振荡培养30-60min,请 2+2等于几啊 8π-20 等于多少?怎么算, 大肠杆菌DH52a感受态细胞 25下午1点,25小时后是几号的几点? 用分数表示:25分钟=( )小时,2500克=( )千克 提取DNA后为什么要跑胶 第25小时怎么样 25分钟=( )小时 最简分数 提取DNA时为什么要用新鲜血液 第25小时电影求求求, 2.15小时=?小时(用分数表示) 3小时15分=?小时 质粒DNA提取中为什么要用冰预冷溶液I和溶液Ⅲ? 第25小时的结局他爸爸要载他去哪里?是帮他越狱?还是送进监狱? 45分钟=多少小时 用分数表示 提取叶绿体是为什么要在冰浴中进行 如果一天不是24小时 是25小时,一小时是70分钟 你会怎么办? 正切1度29分是多少 农杆菌感受态细胞制备失败和质粒没有转进去的可能原因 黄金一盎司等于多少克 正切根3是45度,那么正切根2是多少度呢 大肠杆菌感受态制备为什么要冰上操作,0-4℃操作.还有,为什么要采用对数生长期的菌?不要只给一个简简单单的回答说转化率高,要具体、详细点的,最好有原理, 一盎司等于多少克黄金? 正切45是多少 感受态的制备我制备的感受态加DMSO放-80最近转化率总是下降不知是什么原因, 一盎司黄金等于多少克 15.8°化成度 分 秒 BJ5183细胞感受态的制备我之前用拿来的BJ5183菌液划板挑单菌落,然后扩大培养保存菌种.最近用该菌种用氯化钙法制备感受态细胞然后用pShuttel-CMV转染(连上了目的基因),但是Kna板子上培养了 一盎司黄金等于多少克黄金? 8/15-1/4= 大肠杆菌感受态细胞转化实验中没冰浴就热击会怎样?之后又冰浴30min,还再热击一次,这样会有什么后果?问题严重么? 黄金1斤等于多少两 0.8,里面有( )1/15 聚苯乙烯微球是什么是什么 1块等于几分几毫几里 1港两黄金等于多少克 正切函数的一个问题可是从函数图象上来看,在不一样的区间有不一样的对称中心啊.. 1+1等于几多 1盎司黄金等于多少克 什么是正切函数 如果1+2=2+1 那么我爱你等于你爱我么 怎样理解为公司节约一分钱就等于为公司挣得一分钱? 一道正切函数题求函数Y=tan^2x+tanx+1(x属于R,x不等于kpai+pai/2)的值域. 如果1+1=2,那么你爱我是不是等于我爱你? 一分钱等于多少百元 (1)正切函数在整个定义域内是增函数吗?理由?(2)正切函数会不会在某一区间内是减函数?理由? 如果1+2=2+1,那么我爱你就等于你爱我吗?付出就会有回报吗? 请问多少“厘”等于一分钱? 关于正切函数正切函数在其定义域内是增函数,这句话对吗? 1+2=2+1那么是不是我爱你,也等于你爱我 中国一厘钱等于多少元?多少分? 大肠杆菌感受态细胞制备试验中为什么转化后要在37℃摇床上温育45min 如果1+2=2+1 那么我爱你是不是等于你爱我 一分等于几时 如何制备大肠杆菌感受态细胞 2+2到底等于几呢 14小时35分等于几小时 大肠杆菌制备感受态细胞和重组子转化实验中,没有实验结果大肠杆菌制备感受态细胞和重组子转化实验中,将重组子放在含抗生素的培养皿中培养,也就是用蓝白班的方法,但是培养皿上什么颜
备案号:鲁ICP备13029499号-2 说三道四 www.s3d4.cn