Web 开发者安全最佳实践
每个 Web 开发者都应遵循的基本安全实践，涵盖密码哈希、输入验证等关键领域。
Go Tools Team 12 分钟
Web 开发者安全最佳实践
Web 安全不是可选项。随着网络威胁日益增加，开发者必须在应用程序的每一层都构建安全措施。本指南涵盖了你今天就应该实施的基本安全实践。
密码安全
永远不要存储明文密码
始终使用现代算法（如 bcrypt、Argon2 或 scrypt）来哈希密码。这些算法被设计为运算缓慢，使暴力破解攻击变得不切实际。
// 推荐：使用 bcrypt
const bcrypt = require('bcrypt');
const hash = await bcrypt.hash(password, 12);使用足够的盐值轮次
盐值轮次决定了计算成本。更高的值更安全但速度更慢。对于大多数应用来说，10-12 轮是一个良好的平衡点。
输入验证
在客户端和服务端都进行验证
客户端验证可以改善用户体验，但服务端验证对安全至关重要。永远不要信任客户端输入。
清理所有用户输入
通过清理输入来防止注入攻击：
- 使用参数化查询防止 SQL 注入
- 转义 HTML 输出以防止 XSS 攻击
- 严格验证文件上传
哈希函数
选择正确的哈希算法
不同的使用场景需要不同的哈希函数：
| 使用场景 | 推荐算法 |
|---|---|
| 密码 | bcrypt、Argon2 |
| 完整性验证 | SHA-256 |
| 校验和 | SHA-256、MD5（非安全场景） |
| 快速哈希 | BLAKE3 |
永远不要将 MD5 或 SHA-1 用于安全目的
MD5 和 SHA-1 在安全方面已经被破解。请使用 SHA-256 或 SHA-3 进行加密哈希。
全面使用 HTTPS
始终使用 TLS
- 从受信任的 CA 获取证书（Let’s Encrypt 是免费的）
- 将 HTTP 重定向到 HTTPS
- 使用 HSTS 头部
- 保持 TLS 版本更新
身份认证
实施速率限制
通过速率限制防止暴力破解攻击：
- 限制每个 IP 的登录尝试次数
- 在失败尝试后添加延迟
- 对可疑活动使用验证码
使用安全的会话管理
- 生成加密随机的会话 ID
- 在 cookie 上设置 secure 和 httpOnly 标志
- 实施会话超时
- 在登出时使会话失效
使用我们的安全工具
探索我们的安全工具来帮助你的开发工作：
总结
安全是一个持续的过程，而不是一次性的任务。及时了解最新的漏洞信息，定期审计你的代码，并遵循最小权限原则。用户将数据托付给你 - 请用强大的安全实践来回报这份信任。