1、注入攻击
引起危险：用户输入的数据被当作代码执行，这里有两个条件，第一个是用户能够控制输入；第二个是原本程序要执行的代码，拼接了用户输入的数据。
举例：select * from a where b=某一个变量，这个变量是用户能够控制输入的，他可能是sql的执行代码
防御：使用预编译（一般用这个）、使用存储过程、检查数据类型、使用安全函数
2、登录认证会话管理
1、密码必须使用不可逆，建议使用HMAC-SHA1代替MD5加密
2、现在一般服务端不维护session，把session的相关信息加密之后放入cookies中，强制设置几天让session失效
3、用户登录后，如果服务端维护session，那需要把之前的session给注销，并重新产生新session，否则会出现session fixation攻击（用前端的sessionId可以登录后台管理）
3、访问控制
RBAC——垂直权限，不同角色访问不同链接资源，有通用的解决方案
数据权限——水平权限，同一种角色访问私有的数据，至今没有解决方案
spring security学习成本高，而且不宜配置，建议还是自己写一个RBAC
单点登录：SSO有一个openId开放平台
第三方授权应用访问：OAuth，新浪微薄就有
4、加密
1、加密分成两种：分组加密、流加密
2、不要使用流加密
3、使用分组加密的，不要使用ECB模式（分组加密有四种模式）
4、不要自己实现加密算法，使用专家库
5、密钥等不要硬编码，尽量放在配置文件或者数据库中控制
6、使用CBC模式的AES256加密
7、HMAC-SHA512用于完整性检查
8、带有salt的SHA-256或者SHA-512用于Hashing