说三道四技术文摘-感悟人生的经典句子
说三道四 > 文档快照

招聘开发者常见的九大误区

HTML文档下载 WORD文档下载 PDF文档下载
很多公司在招聘自由职业者和长期性的开发者时往往会忽略他们的安全知识,这是个致命的错误。要知道,正因为你的不小心,最终可能因聘请一位网络新手而给你的代码库带来致命性的灾难。

很多公司在招聘自由职业者和长期性的开发者时往往忽略了他们的安全知识,这是个致命的错误。通常在面试过程中,面试官会站在应聘者能否写出优美的代码角度进行考虑,大多数情况下忽略了安全知识——但也不排除在其离开前会提出关于漏洞方面几个粗浅的问题。仅仅如此是绝对不够的!要知道,正因为你的不小心,最终可能会聘请因一位网络新手而给你的代码库带来致命性的灾难,或者至少会让你失望(花费你大量的时间和金钱)。因此,千万不要犯这样的错误!

许多开发者缺乏对安全知识的理解和经验运用。在面试过程中,如果你发现应聘者有这方面的迹象,那么你需要进一步挖掘并注意提防。你可以提示应聘者应该怎么做来确保网站的安全以及为什么要这么做或者在创建某个网站时应该注意哪些安全问题?

本文列举了九大误解,或许这些误解在你的工作生涯中也曾见识过,我们一起来看下。


一、如果我们使用Web框架,那么不必担心安全问题。

一些流行的框架比如Rails和 Django在编写之初已考虑到安全性问题,并帮助防止常见的漏洞问题。然而,它们并不能阻止业务逻辑出现的缺陷,比如设置产品数量为负数,这就可能给攻击者提供了机会。如果你以非常规的方式使用该框架,它们会努力去保护你,此外,许多安全功能需要由开发者手动实现。

二、我不是很有趣,没人想要攻击我

即便你的公司或应用不是很有价值,访问者或者黑客也可能会攻击您的网站。如果你的网站能够被搜索引擎检索到,并且还有常见的漏洞,那么你的网站已不安全了,已经被攻击了。

比如,2008年,有一连串的自动ASPROX 蠕虫利用网站SQL注入漏洞,以致用户的电脑受到多个恶意脚本的攻击,直到今天仍然有许多网站受到影响。

三、我们已经有了备份,因此无后顾之忧。

尽管网站被攻击后,备份可以帮助你恢复,但它绝不是一个网站安全性良好的、可行性的替代方案。

遭到黑客临时被攻击的网站可能会导致严重的后果,比如,被搜索引擎列入黑名单,敏感的用户数据被盗,网络钓鱼或蠕虫攻击你的访客。此外,即使你把网站备份了,也不能保证其不会再发生了。

四、它是一个内部网络。所以,安全并不重要。

你永远也不能确保威胁不会来自某个雇员或者攻击者以某种方法来获得访问内部网络。

比如,公司内部的CRM或ERP的机密数据被心怀不满的初级员工或者因好奇心缺乏安全意识的员工、临时工因缺乏工作安全性而泄露?攻击者通过你的无线网或者互联网连接而获取网络访问?等等这些都会对你造成潜在威胁。

五、它是安全的,因为通过VPN连接。

尽管用户使用安全的网络连接到你的应用程序,但这并不意味着你的应用程序本身就是安全的。正如我们第四条谈到的内部网络(恶意员工和网络漏洞)。

六、网站使用SSL,因此,它很安全。

如果你的网站使用SSL,它会在你的网站和访问者浏览器之间传输加密数据,尽管它能防止他人拦截未加密的数据,但SSL却无法阻止攻击者利用漏洞来访问你的网站。

七、我想防火墙可以做到!

防火墙实施了一套规则能够控制访问者的IP地址或端口,但却无法阻止访问者利用漏洞访问你的网站。应用防火墙的作用是在HTTP请求级别上但不会查看请求的内容。当正确配置后,防火墙可以帮助减少特定的攻击,比如跨站点脚本或者SQL注入,但不会确保你免受攻击,无法解决根本性问题。更重要的是,黑客会采取很多方法来绕过Web应用防火墙。

八、我们做了渗透测试和源代码分析,因此不需要担心!

渗透测试和源代码分析是编写安全Web应用程序的基本组成部分,但它却不能“包治百病”。重要的是,你不能保证所有的漏洞都能被检测到,因此你需要确保编写安全代码。更重要的是,修复Bug是如此的昂贵,漏洞亦如此,你应该在渗透测试阶段尽可能多地查找漏洞。

九、热门书籍教你如何编写安全代码。

截止到目前,你几乎不可能找到有关编写安全代码方面的编程书籍。开发者利用这些书籍学会Web应用开发,但却无法做到编写安全的Web应用,除非他们已经经历某个应用被黑客攻击或者其在Web安全方面感兴趣。

误解只是个开始!

在招聘开发环节中,检查误解是极其重要的一步,开发者可以编写安全的代码,但这只是众多步骤中的第一步。文中提及的这九大误区,希望对你有所帮助。

英文出自:Scantosecure

【走近院士】李伯虎:云制造技术的应用及发展 一周热点: Twitter的下一代分布式数据库Manhattan 专访微软陆奇:大转型中最难的是文化的改变 【CTO俱乐部走进腾讯】问题征集进行中 颠覆移动营销世界的女王Yunha Kim为女性CEO正名 Google揭露“仙女座”虚拟网络,及分散和集中架构之辩 DHTMLX Touch:开源的HTML5和JavaScript框架 Supercell下一城:《海岛奇兵》续写芬兰手游传奇 开发者盛宴 2014 Unity亚洲开发者大会盛大开幕 微软全球中国云业务总经理:云落地中国的最大难题 PTVS 2.1 Beta版发布 Visual Studio的Python工具 【走近院士】李兰娟:云计算与大数据将成为医疗改革利器 迭代不等于学习,聚类分析也不等于机器学习 Office大肆杀戮,已攻下Chrome Web Store Bug都补好了?Google发布Android 4.4.3更新 微软被传收购Xamarin 强势推进移动新战略 挑战传统金融业务 Facebook进军移动支付领域 亚马逊AWS需解决的五项问题 腾讯自曝:大数据平台的秘密 继Cloudera之后,MapR宣布对Spark的完全支持 企业实施商务智能的6个致命错误 《近匠》HBuilder:如何用JS调用几十万原生API? littleBits新推Cloud Module,普通人也能DIY智能硬件 如何创建浮动式标签模式? Office 365正式落地中国——移动为先,云为先 .NET Native:C++的性能 C#的产能? Arduino联合创始人Tom Igoe:创客,因何而创 【走近院士】高文:多媒体大数据的影响及面临的挑战 微软SQL Server 2014三大新特性:集成内存OLTP、BI和混合云搭建 Linux将会统治桌面端的7个原因 Intel首席科学家Randolph Wang:详解Edison 请问这种情况我该如何实现 怎么样得到RS_result数据集的当前记录和 请问如何选择录音的输入设备?比如wave输入,线路输入,麦克风输入等等 一个联动问题,简单不过了 我建的層為什麼層下的對象也透過來了,設了背景也沒用,有什麼辦法不讓層透明嗎? WinForm里面是怎么实现:“数据已经被修改,是否保存的”?? 呵呵!兄弟送分来了!!vb实现两个小case/kiss(马上给分) Tomcat 4.1.18运行什么命令后,可以设置成为w2k中的一项服务? (在线等)从广播地址某端口接收数据前,如何判断该端口有数据? 我為何沒有csc程序 kdevelop开发文档 如何获取出错信息 关于水晶报表!!!!!!!!!!!!!!!急! 散分 我刚开始学asp,谁能告诉我这段代码有什么错误?请各位大侠帮忙啊,有大分! 寻一女友:发展方向——老婆! 什么是nt service编程 有关串口编程 请教: DDL事件审计的问题。 自定义组件问题,急! 怎么用Ctrl+A 来触发一个按钮的click事件? 急问:vba用ado对access操作,2000下能用,98下不行,要疯了! 关于数据库服务器的费用预估 注册表和主页的问题!!!!!!!!!!!! 我熟悉C++,请大家推荐几本学习JAVA的基础书! vc转java,怎么转啊。 成语接龙----大家一定要做最长的水贴!!!!!! 打算攒台电脑, 请水友帮忙推荐一个 主板(集成声卡)+ 显卡 , 谢谢 ASP新手请教——动态显示的问题 再开一贴,请同行帮忙,也是100分 如何在DataGrid中处理光标离开某个Cell时的事件? [提问]请问哪里有象记账凭证现金输入式的控件?! 谢谢。 怎样在win2000下隐藏linux的分区? 如何查看表的定义及约束 控制条与对话框的问题 那位老兄有<windows防火墙与网络封包截获技术>的光盘,我光有书,没盘 請問怎樣獲得本頁的文件名(除文件名其他部分都不要﹐包括在框架中使用正確) ForBeginner(No.1):Keyword->RedHat8中文显示,AC97,xmms播放mp3 哪位大虾帮我看看这段代码,不胜感激 能否在JSP,Servlet中用asp(js)写的页面 浏览器被黑--恶意加锁:win98的ie 5.5浏览器打开时出现“分级审查窗口”,必须输入正确的密码才能使用? 请教一个关于微软件的.net开发环境的问题?! 有谁用过“微软公文盖章系统” 50分悬赏||____||一个常识问题 java界面控制 有关ASP+ACCESS的查询数据出错,报错 “超出系统资源。 ” java界面控制 求一用php实现压缩/解压缩的程序. 请问在WORD200中有什么好的方法在下划线中输入文字,而下划线不随字体而改动? Excel中保护工作表? 请问使用16倍速的刻录机能刻32倍速的盘吗 我的精液稀少,怎么办?吃什么可以促进精子生长 有关朊病毒朊病毒的遗传物质真的是蛋白质吗?我一高二的都知道不是拉 奶糖每袋10分之3千克,每千克18元,买了5袋奶糖,应付几元? 精子畸形是否会导致胎儿啊发育?患者信息:男 30岁 病情描述(发病时间、主要症状等):男性精子畸形率稍高,精液活力2级(达标3级),是否只是不会怀孕还是说怀孕后会导致胎儿发育不良或 朊病毒的来源朊病毒疾病(又称可传播性海绵状脑病)是一类引起人和动物神经组织退化的疾病,包括人的克雅氏病(CJD)、震颤病以及动物的疯牛病(又称牛海绵状脑病)等.多年来,人们对 为什么有些人不会拼音打字而会五笔打字呢? 西瓜有性生殖中,卵与一个精子形成胚,2个极体与一个精子形成胚乳,那还有1个极体干嘛去了 如右图,为了测定河的宽度,在河岸取定基线BC,其长为a,在河对岸取顶点A,测得∠ABC=α,∠ACB=β则河的宽度为 有没有勤学苦练成才的例子 一块三角形稻田的底是20米,高是底的9/10,这块稻田的面积是多少? 关于朊病毒 怎样才能写好演讲稿?其实平时写作文还是很有文采的.可到了演讲稿上就卡了壳,不仅不出彩,而且写的根本就是不适合演讲的一张堆砌的词藻.不知……能不能传授一下写演讲稿的经验啊? 有布娃娃小汽车小熊三 种玩具送 给晓燕小李和小红有几种送法数学题 求测量小河宽度的方案我这里有一种方案,大家参考下.先在河岸边任取一点A,再在河的另一边取两点B,C,使得角ABC=45度,角ACB=30度.量得BC长为20米,求小河的宽度.要求是求完小河宽度之后再设计一 怎样写好演讲稿 在一个底面半径为10厘米的圆柱形容器里装满水,然后把一个底面半径为5厘米的圆锥形铅锤浸没在水中.杯里的水面下降了1.5厘米.这个铅锤的高是多少厘米? 阮病毒与阮病毒蛋白有什么区别 勤学苦练的故事及其评论 事故致因理论发展历程 为测小河的宽度,先在河岸边任意取一点A,再在河的另一边取两点B、C,测得∠ABC=45°,∠ACB=30°,量得BC为20米 (1)求小河的宽度,结果可保留根号 有关勤学苦练的名人故事 “一战”中,首先开战的两个国家是?〖A〗奥匈帝国-俄国 〖B〗德国-俄、法 〖C〗奥匈帝国-塞尔维亚 〖D〗英国-德国 如图,为了测河的宽度,在河岸上取基线BC其长为m,在河对岸取定点A,测得角ABC=a角ACB=b,qi求河宽 有哪些勤学苦练的故事, 英语一点都不会甚至音标都一点都不会,现在很想学 求方法 郎咸平说怎么了 写笔袋的说明文 职业生涯规划 关于勤学苦练的谚语记住是谚语 急求介绍我的学校的说明文,600字!不要太深奥的!我学校:沙市六中,最好是写本校的 新炸出的花生油应该用什么桶装质量会好一点? 手艺需勤学苦练的熟语或谚语 盐 硫酸 酒精 酱油 醋 花生油 属于导体的是哪个啊 学英语音标有什么用? 愉树用什么农药能药死它必须一次药死. 求一篇有关于人生格言的演讲稿本人星期1要求演讲!要在讲台上是引用一个故事说明一个格言然后联系到自己!不要那么抒情的就好像是在升旗一样那种!不要那种!就当是讲个故事说明道理那 ph试纸、ph值、离子积常数是什么? 修一座10米长、桥面宽5米、桥离水面3米的混凝土桥大约需要多少钱?(广西) 超市把15.6元/kg的穆糖16kg、22.4元/kg的奶糖15kg、12.8元/kg的水果糖25kg混合称什锦糖出售,这种糖应卖多少元/kg?(结果保留一位小数) 病毒体有什么特征 我现在读初三 英语等于文盲 音标什么都不会 我想买一些李阳的书 谁给我推荐些最好是 疯狂系列的 据中考只有俩个月了 我脑子 学数理化转不过来弯 可能我基础太差 明年复读一年 不过今 八米长的桥,四米宽过30吨要多少预算吗? 为什么慢慢从杯子下抽纸,杯子会跟着走;而快速抽纸,纸被抽出而杯子不动? 初中生如何避免被同班同学欺负,注意,方式要正当,符合法律、道德要求.我是一名初二的学生,我们学校是一个差学校,有很多烂仔,差学生,他们不思上进.我们班有42个人,其中有三十个是差学生, 《钢铁是怎样炼成的》的主要内容,感受,收获是什么?字数不要太多! 如图1所示,一张三角形纸片ABC,∠ACB=90°,AC=BC,沿斜边AB的高线CD把它剪成如图2所示△AC1D1和三角形BC2D2两个三角形,将△ABC平移到如图3所示位置时,请猜想D1E和D2F的数量关系,并证明你的猜想 关于勤学苦练的成语和名言警句请写出几句含有“勤学苦练方能成才”道理的成语和名言警句.(越多越好, 什么的滋味作文800字 如图,在△ABC中,∠ACB=90°,∠A=60°,AC=a,作斜边AB边中线CD,得到第一个三角形ACD;DE⊥BC于点E,作Rt△BDE,斜边DB上中线EF,得到第二个三角形DEF;依此作下去.则第n个三角形的面积等于( ) 有关勤学苦练的格言、警句、谚语越多越好! 从一篇发言稿谈如何写好人物介绍 暑假的一天早上,小丽带着小狗散步,小红和小丽同时从自己家出发,小丽每分钟走30米,小红每分钟跑100米.小狗从小丽处跑到小红处再返回小丽处(在两人之间往返),直到二人相遇为止.已知小 郎咸平经常讽刺宋鸿兵的理论.宋鸿兵对郎咸平的看法是什么呢? 如何处理经常迟到的学生呢?高一年级,早上老是迟到 小丽的家距离学校1400m,小丽以100m/min的速度去上学,6min后小丽的姐姐以200/min的速度追小丽在途中追上【1】小丽的姐姐用多长时间追上小丽?【2】追上小丽时离学校还有多远? 宋鸿兵生日 宋鸿兵生日现在宋鸿兵算是个名人,但网络上关于他个人的信息很少,只知道他是1968年出生于四川,具体是哪个市都不知道!在这个网络先进的时代,如果连一个名人的出生日期都不知 如何处理迟到的学生 描写接力赛的好词好句子有哪些?我在写作文. 朊病毒是什么?朊病毒由蛋白质构成,那么蛋白质是如何有遗传效应的?由于蛋白质不稳定,易变性,朊病毒应该很容易被生物体杀死,那又怎样达到侵染生物体的目的呢?还有,朊病毒蛋白质如何指 朴槿惠拒与安倍进行正式会晤 日方表示美称倡导平等但不干涉沙特是否禁止女性美国西部山区蕴含创业潜力 或成下一个媒体称美商场枪击案凶手为白人男性 已资料显示巴西2012年共发生5.6万美国西部山区蕴含创业潜力 或成下一个美国一商场发生枪击事件 暂无人员伤亡印度民众燃放爆竹庆祝排灯节 引环境污巴西被指国内1/3民众缺粮仍大量出口媒体称美商场枪击案凶手为白人男性 已穆兄会面临军方清算 穆尔西支持者誓言印专家:印需成立航天司令部并发展反卫俄副防长指北约“坚定爵士”军演具有冷“狗仔队国王”偷拍历险记韩媒称韩国海警截获三艘“非法捕捞”中穆尔西受审质疑审判合法性 埃及民众意1.4万北京车主河北上牌 当地形成上美研究称适合人类居住类地行星或大量存纽约女性:成为全美找对象最挑群体不是苹果公司为扩大在美零件生产将在亚利桑俄副防长指北约“坚定爵士”军演具有冷严格按照倒排工期 加快推进重点项目“单独二孩”二次提交人大审议市领导开展慰问活动演丰艺丰幼儿园部分幼儿按居民生活类价格执行500小学生力神咖啡新厂投产促进我省房地产平稳健康发展加快推进重点项目加强监测分析预警 促进我省房地产平稳海口市环境空气质量日报教师师德不过关一票否决小小塔昌村开启“三级跳”今年高考海口设9个考点重庆修改火锅底料安全标准 严控农药残李国华任江苏民族事务委员会主任、宗教百台中国公交车亮相尼日利亚首都阿布贾外媒:美方关切中越及中日最新“冲突”印媒:莫迪须打消顾虑与中国经济合作甘肃省青少年男女生吸烟比率为14.5广东佛山两女生穿比基尼洗龙舟水倡环保
备案号:鲁ICP备13029499号-2 说三道四 www.s3d4.cn 说三道四技术文摘