关于web应用程序安全的思考(序)

曾经在一家公司有过这样的经历：上班第一天﹐同事在公司的内部网帮我开了一个账号﹐要我登录公司的管理系统学习一下公司的管理制度。看完这些“文件”后，我随便点了一下系统左边的"员工信息查询"菜单﹐随即右边网页的数据区域显示"您无权查看此页"的错误信息﹐本想退出﹐但发现该页面的查询条件输入区域仍在﹐而且查询按钮也只是灰掉而已﹐在查看了网页原代码后﹐抱着随便试一下的心态﹐我在浏览器的地址栏里输入了一行js代码：javascript:alert(document.all['querybtn'].disabled=false) 使查询按钮启用﹐然后单击它﹐居然真的把人事基本资料给查了出来，随后我又打开这个系统的其它页面﹐发现都只是把动作按钮给disable掉来管理权限。

当把人事薪资等非常敏感的资料放在web系统中时，如果只是通过上面这种方式来保证数据不被非法读取，很明显这个系统没有达到它应该达到的安全级别。

作为一个web系统设计师，在规划一个系统时，必然会考虑到系统的安全性。如何有效的保证系统的安全，如何规划和实现一个可重用，可扩展的安全管控方案都是在安全管控时要考虑的主题。

借着这个机会，笔者打算将自己从事web系统安全设计的经验和大家分享。从一个系统设计师的角度说明web系统安全管控。

1.　　　　 web运作原理，您的系统到底有多安全？

2.　　　　 权限抽象，还一个统一的权限接口

3.　　　　 管控观念转换，柳岸花明又一村。

4.　　　　 通用安全组件，从此不再苦海挣扎。

Web运作原理

Web是由客户端（Client）的请求（Request）和服务器(Web Server)的响应（Response）构成，同一个客户端的多次Request对于Web Server来说都一样，服务器不会将当前收到的Request和以往任何的Request联系起来，因为它们交互的依据是http协议，而此协议规定了http连接的无状态特征。