Что я должен проверить перед выпуском веб-приложения? - PullRequest
5 голосов
/ 25 июня 2010

Я почти закончил веб-приложение.Мне нужно проверить его и найти проблемы безопасности перед его выпуском.Существуют ли какие-либо методы / рекомендации для такого рода тестирования?Или есть какие-либо инструменты, которые помогут мне проверить, готово ли мое приложение к работе в Интернете?Спасибо.

Ответы [ 3 ]

7 голосов
/ 25 июня 2010

Я бы сказал:

  1. проверьте, нет ли предупреждений или ошибок даже в строгом режиме (отчет об ошибках).
  2. В случае, если вы храните какие-либо конфиденциальные данные (как пароли,кредитные карты и т. д.) убедитесь, что они зашифрованы с использованием нестандартных алгоритмов.Используйте SSL и попытайтесь быть каким-то параноиком.
  3. Настройте базу данных с определенным доступом по действиям и хостам и не используйте учетную запись root.
  4. Выполните исчерпывающее тестирование (по возможности используйте модульный тест)).Привлекайте как можно больше людей.
  5. Протестируйте его в основных браузерах (Firefox, Chrome, Opera, Safari, IE) и, если есть время, в других.
  6. Проверьте все свои HTML / CSS на соответствиестандарты (W3C).(рекомендуется)
  7. Зависит от используемой платформы, есть профилировщики, которые могут помочь вам выявить узкие места в вашем коде.(это можно сделать на более поздних этапах).
  8. Настройка параметров для вашего веб-сервера / языка сценариев.
  9. Убедитесь, что она удобна для поисковых систем.
  10. Помолитесь, когда онлайн:)

Это не полный список, так как он зависит от:

  • какой язык / платформа / веб-сервер вы используете.
  • какое приложение вы разработали (социальное, финансовое, управленческое и т. Д.)
  • , кто будет использовать это приложение (весь мир, конкретная компания, ваша семья или только вы).
  • ты собираешься его продать?тогда у вас должно быть хотя бы большинство предыдущих баллов.
  • использует ли ваше приложение очень конфиденциальную информацию (в качестве кредитных карт)?Если это так, вы должны заплатить за то, чтобы какой-то профессионал (компания?) проверил ваш код, настройки и методы.

Это только мое мнение, примите это как есть.Я также хотел бы услышать, что предлагают другие люди.

Удачи

1 голос
/ 06 июля 2010

Здесь вы можете найти практический контрольный список для использования перед запуском сайта
http://launchlist.net/

А вот список всего, что вы забыли проверить
http://www.thebraidytester.com/downloads/YouAreNotDoneYet.pdf

1 голос
/ 25 июня 2010

Помимо того, что уже было предложено, в зависимости от типа приложения вы можете использовать сканер уязвимостей для сканирования вашего приложения на наличие уязвимостей, которые могут привести к тому, что хакеры получат доступ.

Существует довольно много хороших сканеров, но при их использовании обратите внимание, что результаты могут быть, а могут и не быть 100%. Трудно сказать.

Список сканеров, коммерческих и бесплатных, см .: http://projects.webappsec.org/Web-Application-Security-Scanner-List

Для получения дополнительной информации о сканерах: http://en.wikipedia.org/wiki/Web_Application_Security_Scanner

Удачи.

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.
...