安全世界观
一:Web安全的兴起
1.Web攻击阶段
服务器端动态脚本安全问题
SQL注入的出现
XSS(跨站脚本攻击)的出现
Web攻击从服务器端转移到客户端
二:安全的本质
安全问题的本质是信任的问题
三:安全三要素
机密性(Confidentiality):要求保护数据内容不能泄露，加盟是实现机密性要求的常见手段
完整性(Integrity):要求保护内容是完整的，没有被篡改的
可用性(Availability):要求保护资源是“随需而得"
四:如何实施安全评估
一个安全评估的过程，可以简单的分为4个阶段:
1.资产登记划分:互联网安全的核心问题，是数据安全的问题
2.威胁分析
STRIDE模型
3.风险分析
DREAD模型
威胁风险值:
Risk = D + R + E +A + D
高危:12-15 中危:8-11 低危:0-7
4.设计安全方案
安全安全应具备以下特点:能够有效解决问题，用户体验好，高性能，低耦合，易于扩展与升级
五:设计安全方案原则
Secure By Default 原则:黑名单，白名单，最小权限原则
纵深防御原则:不同层面、不同方面实施安全方案，不同安全方案之间需要相互配合，构成一个整体；
要在正确的地方做正确的事情:在解决问题的地方实施针对性的安全方案
数据与代码分离原则:针对输入问题
不可预测性原则:敏感数据不可预测