保护Java Web应用程序

Question

我想保护我的Web应用程序的安全，但是我想知道应该使用哪种安全性。

例如，使用SSL认证还是编写自己的JCA（Java密码体系结构服务）对我来说更好？

哪一个给我什么，它们的优缺点是什么？

如果使用SSL更好，那么使用哪个更好？ DV，OV（最终用户有什么区别）或EV？

谢谢

Answer 1

规则1

不要尝试以任何形式或形式推出自己的安全性过程，协议，机制。 许多学者致力于研究的大部分内容，以创建可供公众使用的加密安全算法。

宝贵的资源：

• https://security.stackexchange.com/questions/18197/why-shouldnt-we-roll-our-own
• https://news.ycombinator.com/item?id=9375795
• https://www.reddit.com/r/programming/comments/3ugvo8/another_example_of_why_you_shouldnt_rollyourown/

---

在您的其余部分上； 您绝对应该主要使用SSL证书来确保从客户端到服务器在传输级别上的通信安全（这要归功于HTTPS）。

也就是说，如果您能够很好地从CA获得扩展验证证书，并且它可能比“域验证”证书更好。

老实说，普通用户的差异可以忽略不计，关键是启用HTTPS。 除此之外，您的SSL可以/应该在Web服务器级别（例如Nginx）进行配置，并且本质上与语言/技术无关。

最后一点-我强烈建议您查看“ 让我们加密”，因为它允许您以编程方式在Web服务器上设置SSL证书，包括电子邮件通知和自动更新证书，以免它们过期。