如何正确保护我的How服务器不受欺骗请求的影响？
为了正确保护您的How服务器不受欺骗请求的影响，您可以采取以下措施：
- 使用防火墙：配置防火墙规则，限制只允许特定IP地址或IP地址范围的请求访问您的服务器。这可以有效地阻止未经授权的请求。
- 使用SSL证书：为您的服务器配置SSL证书，启用HTTPS协议。这样可以加密数据传输，防止中间人攻击和数据篡改。
- 强化访问控制：设置强密码，并定期更改密码。禁用不必要的服务和端口，只开放必需的端口。使用多因素身份验证来增加访问的安全性。
- 更新和维护：定期更新服务器操作系统、应用程序和补丁，以修复已知的漏洞和安全问题。同时，监控服务器的日志，及时发现异常行为。
- 使用Web应用防火墙（WAF）：部署WAF来检测和阻止恶意请求，如SQL注入、跨站脚本攻击等。WAF可以帮助您过滤恶意流量，保护服务器免受攻击。
- 实施访问限制：限制服务器的访问权限，只允许授权用户或IP地址进行访问。使用IP白名单或VPN来限制访问。
- 定期备份数据：定期备份服务器数据，并将备份数据存储在安全的地方。这样即使服务器受到攻击或数据丢失，您也可以恢复数据。
- 安全审计和监控：使用安全审计工具和监控系统来监测服务器的活动和异常行为。及时发现并应对潜在的安全威胁。
腾讯云相关产品推荐：
- 云服务器（CVM）：https://cloud.tencent.com/product/cvm
- 云防火墙（WAF）：https://cloud.tencent.com/product/waf
- SSL证书：https://cloud.tencent.com/product/ssl
- 云安全中心：https://cloud.tencent.com/product/ssc
请注意，以上是一般性的保护措施，具体的保护策略应根据您的具体需求和环境进行定制。同时，定期关注安全漏洞和最佳实践，保持对云计算和网络安全领域的更新和学习，以提高服务器的安全性。
相关·内容
我必须设计一个服务器套接字program.The的要求是，从客户端的每个连接将在不同的线程。
挑战是假设服务器现在连接到两个客户端客户端A，客户端B.They将在两个不同的线程中。
我的应用程序需求是，当服务器从客户端A或客户端B获得一些消息时，在处理此消息后，它会将消息同时发送到客户端A和客户端B。
你能建议一下什么是正确的方法，让it .How知道哪些客户端在一次打开。
浏览 1提问于2010-12-13得票数 1
回答已采纳
我有一个Apache was服务器正在运行，最近关于Shellsock攻击bash的消息，我想知道我的webserver是否易受攻击。我不认为是这样，但我想确保我没有弄错。
我没有故意在服务器上使用bash，它使用mod_php和Python站点运行了一些PHP工具。但我想确定的是，在服务器上运行的软件中，没有一个是在我没有预料到的情况下使用CGI的。
如何确保我的How服务器不受攻击？
浏览 0提问于2014-09-25得票数 43
我有一个应用程序，用户可以创建帖子。没有登录或用户帐户需要！他们以邮寄请求的形式提交内容。post请求引用我的api端点。我还有一些其他api点，它们正在获取数据。
我的目标是完全保护api端点，除了一些允许请求api的特定站点(我希望通过在我的数据库中拥有域名和一个安全字符串来实现这一点，如果调用api，它是否有效将被请求)。这似乎对我有好处。但是，我还需要确保我自己的应用程序仍然能够调用api端点。这是我的大问题。我不知道如何实现这一点，也没有发现任何好的地方。
因此，api端点只能用于：
Next.js应用程序本身--如果有人这样做--例如，其他一些被选中的域，它们获得的凭据保存在我的数
浏览 2提问于2021-07-02得票数 1
1回答
我正在用Python开发一个使用Flask的项目，它将有端点，如
@app.route(/transaction) def get(请求)：. @app.route(/transaction) def post(request)：.
另外，我希望在其他端点执行方法之前对其进行身份验证。
我对此进行了大量的搜索，发现是我可能需要的(我现在还不确定)
问题
我如何使用python和烧瓶来实现这样的安全模式？有什么我可以从中看到和学习的例子吗？
我不想用明文传递密码，使用令牌是一个更好的主意，那么考虑HTTP摘要身份验证是一个正确的选择吗？
你们还有什
浏览 0提问于2013-04-04得票数 2
官方离子文档
CORS
不幸的是，没有API来禁用它，所以您需要确保应用程序使用的任何远程API，正确地实现CORS : CORS MDN Docs
产地： CORS核对表：
白名单来源：白名单方法白名单标题CORS飞行前请求(选项)
我不认为这是离子团队的好练习。假设我有一个后端服务器，允许“localhost:8080”作为离子型服务器。
然后，任何人都可以通过本地的本地'localhost:8080‘服务器来创建一个脚本来连续地访问我的服务器，这样就可以生成我的后端堆栈。
你觉得这个方法是什么？
浏览 1提问于2017-12-11得票数 1
许多文档表明，在QUIC中，服务器生成的令牌解决了IP欺骗问题。具体来说，服务器发出一个令牌，以便客户端可以使用它来标识自己，然后服务器将只响应那些具有有效令牌的令牌。
但攻击者不能只是IP欺骗初始连接吗？这难道不能达到DNS或NTP服务器IP欺骗的同样效果吗？
浏览 0提问于2016-10-09得票数 4
回答已采纳
我正在本地服务器端口8000上运行API。换句话说，当方法get时，127.0.0.1:8000/api返回JSON数据。我知道这一点，因为如果我从其中一个视图发出ajax请求，就会得到正确的返回数据。
现在，我试图让这个API与第三方网站以及。所以我构建了另一个应用程序，并在端口8080上运行它。换句话说，转到127.0.0.1:8080运行以下JS代码：
(function() {
$.ajax({
url: 'http://127.0.0.1:8000/api/',
type: 'GET',
data
浏览 0提问于2016-08-15得票数 0
回答已采纳
1回答
谁能访问X令牌？
、、
我真的对我继承的Spring应用程序中的CSRF令牌实现感到困惑。基本上，每个人都可以通过查看Spring安全过滤器所做的事情来请求令牌：
http
.exceptionHandling()
.authenticationEntryPoint(new RestAuthenticationEntryPoint())
.and()
.authorizeRequests()
.antMatchers(HttpMethod.GET,"/token").permitAll()
最初，我认为
浏览 0提问于2019-09-08得票数 1
回答已采纳
我的堆栈是Django 1.3(Python2.7)+ Apache + mod_wsgi
Apache每个请求生成一个新的进程..。有时，在这些请求中，我必须向RabbitMQ发布一条消息，内容涉及稍后要完成的一些繁重任务(比如将刚发布的猫照片通知某人的追随者)。
发布涉及到连接到RabbitMQ，这是昂贵的。(参见这个问题：)
我也悲伤地意识到Python无法跨进程共享内存..。叹息:(
在这种情况下，如何防止创建和关闭每个RabbitMQ请求的连接的开销？
为了清晰起见，在这里使用RabbitMQ + pika是我尝试共享进程间连接的失败尝试：
def test_view(request
浏览 2提问于2012-10-24得票数 3
回答已采纳
1回答
我是web开发的新手，我观察到了一些我自己都搞不懂的事情。
我可以看到许多网站在静态文件的URI之后使用随机参数，例如image-name.jpg?asdhajksdha、style.css?ahj123hk等。
随机参数是做什么用的？
浏览 0提问于2013-03-25得票数 0
回答已采纳
假设我连接了一个安全的服务器example.com。
在这种情况下(S)，路由中间的恶意路由器(或我的ISP)能看到secret吗？
1) HTTP + GET，URL查询参数中的秘密：http://example.com/mypage?user=abc&secret=238
2) HTTPS + GET，URL查询参数中的秘密：http://example.com/mypage?user=abc&secret=238
3) HTTP + POST，请求体中的秘密：user=abc&secret=238
4) HTTPS + POST，秘密请求体：user=abc&am
浏览 0提问于2020-04-24得票数 0
回答已采纳
我试着爬。当我手动这样做时，我首先看到一个页面，上面写着检查您的浏览器。等一下。然后，在大约一秒钟后，实际的内容将被显示出来。当我使用selenium时，我总是停留在等待片刻页面上。
它如何手动工作，但不能使用selenium？如何知道网页是自动访问的？selenium是否有一些额外的选项打开Chrome？我的代码：
from selenium import webdriver
options = webdriver.ChromeOptions()
options.binary_location = "/Applications/Google Chrome.app/Contents/
浏览 4提问于2022-04-20得票数 1
1回答
各位，我对HTTP请求有一个问题:我希望同时检测多个请求(到同一个url)的调用，以防止调用它。例如，我有一个bug代码--无限循环(客户端)。此代码同时将这么多请求调用到服务器。我想阻止它或者平衡它。我不知道是否有人已经解决了这个问题。有人可以给我一些关于这个问题的想法或算法。
非常感谢!
浏览 2提问于2022-07-08得票数 -1
回答已采纳
1回答
如果这个问题含糊不清，或者之前有人问过我，我很抱歉--我不太了解我想要问的是什么，以便寻找答案。
我正在为一个响应HTTPS请求的游戏创建一个后端服务器。这个游戏在这一点上相当简单-你有一些统计数据和清单，可以用不同的方式检查和修改。我想为此创建一个web界面，它将允许您执行一些重要的操作，包括修改您的角色数据(升级，分配统计点数，管理库存等)。然而，我有一个顾虑！我担心人们偷看这个网页的源代码，拼凑命令，例如，将一个点添加到你的统计数据或物品清单中，然后将该命令“欺骗”到我的服务器，允许他们不公平地修改他们的角色数据。
将商品添加到库存中的HTTPS请求可能如下所示(假设它是一个按钮或其他东
浏览 8提问于2017-07-13得票数 1
回答已采纳
我需要将消息发布到Google Cloud发布/订阅，而不是使用OAuth或Google SDK，而是使用Api密钥(类似于"how to publish to pub/sub with just an api key")。 在medium上有一个关于如何保护推送订阅的指南，但是我不知道如何配置端点，这样我就可以只用一个api key发送发布/订阅发布请求。 您能分享一个匹配的示例终端配置(yaml文件)吗？
浏览 19提问于2019-10-08得票数 0
回答已采纳
我理解reCAPTCHA如何减轻站点所有者的风险，但how是否会使用户受益？
由于黑客利用假reCAPTCHA欺骗用户点击和/或输入安全信息does，这增加了用户的风险？
浏览 0提问于2022-11-10得票数 1
回答已采纳
1回答
我将Google Drive链接到我的ERP程序中。
然而，从去年2月20日起，我不能从程序中登录。
我从搜索控制台检查了我的域。
然而，我仍然没有得到OAuth Screen的同意。
我该怎么办？
下面是来自OAuth同意屏幕的图像。
浏览 0提问于2019-03-04得票数 1
1回答
视图中的无限循环
、、、
ethereum网络如何防止视图中的无限循环？在正常的交易中，你必须支付煤气费，所以这对你来说太贵了，但是打电话查看是免费的。
例如：
contract Tester {
function loo() public pure returns(string memory){
uint i = 1;
uint c = 0;
while(i == 1){
c = c + 1;
}
return "good";
}
}
我想在里米克斯给它打电话，但它坠毁了。
浏览 0提问于2019-03-27得票数 4
回答已采纳
1回答
通过脚本注入实现远程控制
、、、、
有些服务器允许我们使用与页面域不同的src动态插入脚本元素。
由于相同的原产地策略()，我们不能将数据发送到另一台服务器，但是可以这样做：
删除邮件服务中的所有电子邮件
在商店下一些订单
在社交网络上写消息等等..。
因为脚本是从服务器A注入到页面x中的，并且请求正在对服务器A执行，所以这里没有什么问题--相同的原产地策略不起作用。
默认情况下，是不受此保护的服务器？。
在受保护的服务器上，我们得到了以下信息：
拒绝加载脚本，因为它违反了以下内容安全策略指令：" script -src‘不安全-eval’‘不安全-内联’
q=document.createEleme
浏览 2提问于2017-01-27得票数 0
回答已采纳
Keeweb在kubernetes上部署为self主机，并与gdrive集成，但"Google尚未验证此应用程序“错误。
日志中没有任何内容，请按照步骤-
浏览 2提问于2022-05-09得票数 0
回答已采纳
我正在开发一些自动建议功能。
脚本本身就是这样的。当在文本框中键入一个字符时，它会向php文件发送一个ajax post (或get)请求，该文件查询数据库并返回一个结果集。
但问题是php文件本身是可以访问的。所以可以直接调用它。有没有办法防止这种情况，使php文件只为我的应用程序上的ajax请求服务。
提前谢谢。
浏览 0提问于2010-02-25得票数 1
回答已采纳
我有一个使用apache和mod_auth_kerb的设置来验证用户，并使用带有用户名(X-Remote-User)的HTTP头将他们代理到目标web服务器。
如何从目标web服务器设置正确的注销机制？-要调用的URL或类似内容？
浏览 8提问于2014-10-08得票数 1
Google V3文档显示实现最简单的方法是使用他们所称的“自动将挑战绑定到一个按钮”。
从它们的示例中，回调函数直接处理提交。它们是否意味着您不必使用此方法使用其API验证令牌？或者这个例子仅仅是为了展示如何运行一个JS回调函数，该函数将令牌作为参数？
如果您没有对recaptcha令牌进行服务器端验证，则可以从按钮中删除recaptcha事件，并让表单像往常一样提交而不使用令牌。
总之，文档中的示例是不安全的，还是只是缺少了服务器端验证部分？
浏览 2提问于2021-07-16得票数 0
回答已采纳
我特别想到这个过程来阻止“中间人”攻击和重播攻击：
用户在客户端应用程序中键入他们的用户名。
客户端应用程序将用户名发送到服务器。
服务器使用一个文本字符串(让我们称之为SecretA)进行响应，这是使用作为加密密钥检索的用户名的密码的随机字符串RandomString的加密！！即SecretA = encrypt( message: RandomString, key: Password)
用户输入他们的密码并按下“登录”。
客户端应用程序接受用户输入的密码和SecretA。它使用用户输入的密码解密SecretA以发现RandomString (只有当用户输入正确的密码时)。它使用以时间戳(
浏览 0提问于2015-06-18得票数 -1
我正在从Azure api服务到azure kubernetes来托管api的过程中。我有一个解决方案，可以使用nginx、oauth2_proxy和azure active directory。但是，该解决方案需要cookie才能正常工作。因为这是一个api，外部安全性将由具有自定义授权者的AWS API Gateway管理。我希望API网关仅使用持有者令牌进行身份验证，而不需要cookie。
我有我的解决方案工作，并一直到目前为止测试邮递员。在postman中，我有持有者令牌，但如果没有cookie，就无法找到访问的方法。
我的应用程序目前通过aws api网关和azure活动目录的azu
浏览 0提问于2019-11-07得票数 0
我使用addslashes()来插入数据。但服务器本身也会添加addslashes()。
例如：
$str="jogindersinh's company";
$q="insert into company(company_nm)values(addslashes($str))";
字符串必须插入到数据库中，如jogindersinh's company。
但由于二次添加addslashes()，数据插入到jogindersinh\'s company等数据库中。
所以当我获取数据时。获取结果jogindersinh\'s com
浏览 1提问于2014-04-17得票数 0
1回答
我们有一个页面，其中我们使用javascript异步调用页面方法并更新UI。如果用户在所有异步调用完成之前单击页面上的链接，浏览器在它们都完成之前不会启动get。至少在IE11无论如何。有什么办法可以绕过吗？
浏览 0提问于2015-10-23得票数 0
回答已采纳
1回答
我正在尝试实现非常简单的身份验证，以更新我的服务器上的值。情况如下：
我有一个门传感器连接到一个覆盆子圆周率。每次触发传感器(“打开”或“关闭”)时，我都会向位于“api.xxxxxx.com”的数字海洋水滴发送一个帖子请求，指向一个重定位服务器。POST请求主体包含传感器状态、时间戳和API键.RESTify服务器还有一个名为“constants.js”的文件，其中包含相同的API键。如果从RPi发送的API键与我滴上的常量文件中的密钥相同，它允许更新值(最新的状态/时间)。如果没有，它只会发回一条错误消息。
API密钥是通过SHA3-256发送的密码。
这个计划能满足我的要求吗？我唯一能想
浏览 0提问于2019-07-30得票数 0
回答已采纳
我已经为内部使用编写了一段时间的WCF服务(除了WinForms和MVC web应用程序)。但是，我现在需要把其中一个服务暴露给伟大的不被清洗的人！
由于这是一家单一来源的公司，我提出如下建议：
体系结构
公司使用VPN通过HTTPS/SSL 向DMZ服务器发送请求。
DMZ防火墙只允许特定的公司IP
DMZ IIS服务器将请求传递给我们的内部IIS服务器。
内部防火墙只允许DMZ服务器内部面向IP。
内部IIS WCF服务会消耗请求并将响应发送回链上。
然而，我的IT经理想要的不仅仅是这个和more...in细节。
例如：
浏览 1提问于2013-01-22得票数 4
回答已采纳
1回答
我使用WebDav将我的托管帐户备份到远程服务器。时间表是每日递增，每月满。
我还想保护备份不受主机攻击，所以我必须确保服务器(其中有欺骗性)不能破坏远程服务器上的备份。
是否有保护备份的建议解决方案？
如果没有的话，我会考虑在远程服务器上创建脚本，在上传备份之后，备份将是只读的。(最后，它还删除了超过x个月的备份。)
我可以制作这个脚本，但我不确定哪些文件可以被安全地保护。如果我定期chmod o-w所有文件，备份将在第二天继续吗？还是欺骗需要写入尚未上传的文件？如何确定哪些文件需要修改，哪些不需要修改？
如何删除旧备份而不破坏某些内容？
浏览 6提问于2015-06-08得票数 0
回答已采纳
1回答
在SPA中将CSRF令牌作为HTTPS成功登录JSON响应的一部分安全吗？如果没有，是否有更好的机制来发送它，以避免双重提交Cookie模式？
一些背景：
我正在构建一个SPA应用程序(Node/React)，该应用程序将HTTPS与JSON后端通信，并且我试图确定从登录响应JSON中的服务器发送CSRF令牌是否是一件安全的事情。
我研究了从服务器发送CSRF令牌的OWASP的建议，该服务器声明：
CSRF令牌可以通过隐藏字段、标头添加，还可以与窗体和AJAX调用一起使用。
然而，这似乎并没有解决SPA关注的问题。我还发现，角度框架使用双提交Cookie模式，但是源代码(包括OWASP)表明这
浏览 0提问于2020-12-11得票数 0
回答已采纳
背景：
我有一项任务要start/stop/reload --一个部署在tomcat、jboss、weblogic或websphere中的JMX应用程序。(人们可能知道，前面提到的web应用服务器已经有了实现它的管理器页面，我们只想将这四个主要的web服务器管理员的start/stop/reload特性通过JMX集中到一个页面中)。
带有tomcat的问题：
我有一个名为JMXWebExample1-0.1的示例应用程序。我可以通过向提示的登录页面输入tomcat/tomcat(username/password)来访问manager页面，通过单击应用程序名称旁边的停止按钮可以看到下面的链接。
浏览 0提问于2019-05-08得票数 3
我在asp.net应用程序的根文件夹中有一个母版页，在子文件夹中有一个内容页。我正在使用表单身份验证，但不确定如何在web.config中为母版页执行此操作。窗体身份验证保护的是子页还是母版页？
它怎麽工作?
浏览 0提问于2009-03-25得票数 1
回答已采纳
如何使asp.net允许小于(<)和大于(>)符号以及其他特殊符号包括在密码字段中？
我已经尝试过设置页面请求验证设置，但是我不能在安全性上妥协。不过，我仍然希望密码字段中允许“<”和“fields‘>”符号.
浏览 0提问于2018-01-19得票数 1
回答已采纳
我们在AWS上以一个小的自动缩放组(通常为2-4个实例)运行一些web服务器。它的健康检查基于ELB健康检查，因此如果其中一个web服务器停止响应，它将被一个新实例替换。
这目前运作良好。如果出现中断，则终止无响应的服务器，并将新服务器分离出来以取代它们。
问题是，我们目前不知道服务器为什么会出现故障。我们从一些日志中得到了一些怀疑，但是我们不能再登录到服务器上，无法查看web日志、系统日志或其他任何东西。
我知道有一种方法可以手动将实例从自动缩放组中分离出来，但是在发生故障时有什么方法可以自动做到这一点呢？
这就是我想要发生的是，当服务器故障时，它会继续运行，但会从自动缩放组中移除，这样我们
浏览 0提问于2018-03-15得票数 2
所以我复制了我的jmx文件，并混淆了要包含在这里的域。要友善。我是一个负载测试新手。:)
我有一个负载测试目标。我必须在VPN上才能访问目标的网站当连接到VPN时，我的负载测试编号没有任何意义。这很酷。我不相信我的测试是正确创建的。但更奇怪的是，当我没有连接到VPN时，请求会收到响应。结果树有非常小的绿色复选标记(实际上是屏蔽图标)。但它不可能与服务器进行通信。但当我查看响应主体时，它是一个非常合理的响应主体。
我的jmx文件太大。我会试着把它附加上去。但是，有没有人对可能发生的事情有一个解释？或者我可能做错了什么？
浏览 18提问于2021-03-05得票数 0
很难找到这个问题的完全清晰的答案。在我的学习中，当我尝试将数据从request传递到models.py (当使用django管理器时)时，我被教导不要传递整个views.py对象。
但是，在我的当前场景中，我试图在models.py中设置验证方法(使用一个管理器)，利用django-messages ()，在生成自定义错误时，需要request对象本身，例如：
messages.add_message(request, REG_ERR, 'First and last name are required must be at least 2 characters.', extr
浏览 2提问于2017-05-19得票数 0
回答已采纳
1回答
弹簧引导队列民意测验
、、、、
我正在使用Spring (服务器)发布一个API请求(Android，retrofit)。Spring支持多个线程发布API。
当我完全同时收到多个API请求到服务器时，我需要异步运行它们，但是Spring为每个请求都启动了一个新线程。
我尝试使用队列，然后逐个轮询对象，但是队列要么同时被轮询，要么让线程休眠，所有线程都会休眠那么多时间，那么每个对象都会被并发地检索。
有人能建议如何慢慢地一个一个地投票吗？请注意，所有其他post请求都需要并发性，但只有此特定post请求才需要此延迟。
浏览 3提问于2022-06-07得票数 0
回答已采纳
我正在工业环境中设置一个服务器，它将有一个将安全资产注入到PCB中的服务。我希望服务器将这些资产存储在一个自加密磁盘上，其中一个加密分区只能由注入服务访问。我希望SED密钥被TPM密封到服务上。对于如何设置或在哪里寻找答案，有什么建议吗？
浏览 0提问于2021-09-15得票数 0
1回答
我们正在构建一个在JBoss中运行的Java /Hibernate后端应用程序。前面是AngularJS。
我们还没有在服务器端安装XSRF令牌。我们也没有(至少还没有)有一个允许其他域访问我们的网络资源的要求。
我想我会尝试看看我们的站点是否容易受到XSRF攻击，所以我设置了一个恶意的webapp，使用real的$http.post()将其发布到我们的一个真正的应用程序的urls中。我登录了真正的应用程序，然后尝试从恶意的应用程序发帖。
在浏览器中，我得到了401响应，并看到了错误：
XMLHttpRequest cannot load http://localhost:8080/user/
浏览 0提问于2014-10-22得票数 3
回答已采纳
1回答
我在我的项目中使用RMI，我们有一个RMI服务器和一个RMI客户端。客户端在we应用程序中，因此我们将服务器引用存储在公共常量中。
我想知道，每次我们需要服务器实例时，在注册表中查找服务器的开销有多大。还是最好只查一次，并将其存储在某个常量中。
如果我将其存储在常量中，那么如果重新启动RMI服务器，问题就会开始。因为这个常量变量持有旧的引用，并抛出java.rmi.NoSuchObjectException: no such object in table。
欢迎任何投入。
浏览 2提问于2013-12-17得票数 1
回答已采纳
我有一个django应用程序，在这个应用程序中，用户使用OAuth注册和关联第三方帐户。作为其中的一部分，我在第三方网站上创建了一个订阅，每当在第三方网站发生某些事件时，就会向给定的端点发出一个POST请求。当第三方网站发邮件时，我会收到以下错误-
"POST /notification HTTP/1.1" 403 2282
而且，如果我理解正确的话，这是因为请求中缺少csrf令牌。如何忽略csrf检查？
浏览 2提问于2013-11-24得票数 0
回答已采纳
在测试需要身份验证的APIViews时，我遇到了麻烦。我想测试CSRF和身份验证+权限是否都按预期执行。
关于我的设置的一些信息：
我的视图是一个Django Rest框架rest_framework.views.APIView，它实现了function.Default身份验证类是SessionAuthenticationDefault权限类是IsAuthenticatedTest类使用APIClient发出请求的
当使用APIClient初始化enforce_csrf_checks=True时，当涉及到需要身份验证的视图(使用IsAuthenticated权限类)时，我仍然无法得到预期的响应
浏览 2提问于2020-10-10得票数 0
我目前正在为tasks.but开发一个windows存储应用程序。我使用sqlite作为数据库APPData，db文件作为单独的文件保存在APPData文件夹中。我想让它更多的secure.how，我能这样做吗?如果沙箱是一个解决方案，那么我如何沙箱数据库？
浏览 4提问于2014-10-15得票数 0
回答已采纳
2回答
如果有人嗅探到网络流量，他能把他监听到的相同的加密请求(而不是篡改)发送到服务器上吗？例如，一个请求可以激活服务器上的某个过程，那么他是否可以重新激活该过程，因为他有请求内容，即使它在HTTPS上？
浏览 1提问于2015-05-11得票数 1
回答已采纳
2回答
我一直在实现基于HTTPOnly cookie的会话处理，并对HTTPOnly的含义有一些疑问。
我意识到这是在设置cookie时在HTTP头中传递的一个标志。我还意识到，大多数浏览器拒绝通过客户端脚本修改所述cookie。
如果我正确理解的话，我的想法是，示例浏览到一个被破坏的页面、他的IE9浏览器或其他任何东西，就会拒绝从植入的脚本中窃取饼干的任何企图。
但是，当cookie存储在客户端时，实际的HTTPOnly标志对任何确定的人都意味着什么？如果它存储在客户端，那么客户机当然可以找到一种方法来改变合法HTTP请求之外的内容？
如果是这样的话，我认为HTTPOnly不是为了防止来自客户机本
浏览 0提问于2013-02-18得票数 2
回答已采纳
最近，我参加了一个研讨会，主持人解释了如何保护rest。
他建议避免中间人攻击的一件事是不要在URL中发送id(即不将id作为路径参数发送，例如不要这样做: GET /order/{order-id})。这样，恶意黑客将无法在飞行中更改in，并将请求定向到后端的不正确资源。更好的方法是在正文中放置ids，并将正文作为令牌的有效负载的一部分发送。如果有人篡改了令牌，那么令牌中的签名将与负载中修改的内容不匹配。
这是正确的方法还是最好的方法？
浏览 0提问于2019-12-17得票数 1
回答已采纳
1回答
我正在开发一个应用程序，它从一个自定义的RSS提要中读取数据，其中包含有关事件的信息。提要使用FMDB框架进行解析，并使用GData包装器写入SQLite。
提要信息由web应用程序在服务器上创建。
我现在正在考虑如何让应用程序免受黑客攻击，这些攻击可能会通过服务器验证。我在这里看到了一些关于SQL注入的帖子，所以我有关于它的信息。
是否有其他攻击/机制需要考虑？
我订阅源中的信息不是秘密，我只是在寻找一个运行良好的应用程序，不会轻易被黑客入侵。
浏览 2提问于2011-09-09得票数 1
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM活动推荐
腾讯云开发者
