堆栈内存溢出
cost 283 ms
是否可以在不是所有者的情况下查看 server.js 文件？

[英]Is it possible to view the server.js file without being the owner?

现在，我不是在谈论能够在控制台源选项卡中看到它。 我是说获取 server.js 文件并更改它以利用该网站有多难？ 我应该向 server.js 文件添加任何额外的安全性还是它可以正常使用？ 谢谢！ ...

在前端输入 hash 密码是否有意义？

[英]Does it make sense to also hash password on frontend?

我知道密码应该在后端进行哈希处理/加盐处理，并且 HTTPS 应该用于传输。 我担心的是，在帐户注册时，有一段代码可能会通过放置不当的日志语句暴露明文密码。 我知道多次散列密码并不理想，但为了解决这个问题，是否可以接受（从安全治理的角度来看）前端的密码也为 hash？ ...

Blazor 和 SignalR - 在存储和呈现纯字符串文本时，XSS 或其他攻击如何可能？

[英]Blazor with SignalR - how is an XSS or other attack possible when storing and rendering plain string text?

在带有 SignalR 聊天应用程序的 Blazor 服务器中，我在<input>元素中获取用户输入，将其绑定到 @code 部分中的字符串，并将该字符串作为参数化查询存储在数据库中。 我相信这足以防止一阶 sql 注入。 我正在通过 SignalR 向前端用户和连接到聊天应用程序的所 ...

为什么将 window.location.href 设置为 session 存储项值被认为是 DOM XSS 漏洞？

[英]Why setting window.location.href to session storage item value is considered a DOM XSS vulnerability?

Fortify SCA 报告以下代码存在 DOM XSS 漏洞： 例如，当用户通过单击链接进入我的应用程序并且用户未登录时： 该应用程序将window.location.href存储到 session 存储中的returnUrl项中它将window.location.href设置为外部登录页面当 ...

如何在 Mobile OAuth 2.0 联合登录的后端/API 上交换授权码

[英]How to exchange authorization code on backend/API for Mobile OAuth 2.0 federated log in

我目前正在开发一个移动应用程序，该应用程序使用 OAuth 2.0 与自定义身份提供商（不是谷歌、facebook、twitter 等）联合登录。 我试图解决的更大问题围绕着将身份验证从隐式授权类型转移到使用 PKCE 的授权代码流授权类型。 这给我带来了一个我似乎无法找到直接答案的问题： 如何在 ...

HTTP Content-Security-Policy header 对于 Struts 中的 script-src 无法正常工作

[英]HTTP Content-Security-Policy header not working correctly for script-src in Struts

我在将我的 struts struts2-core-2.5.30 项目版本更新到 struts2-core-6.1.1 时遇到问题，所以我开始收到一条错误消息，表明违反了安全策略，做了一些研究，我发现一个 header应该加上 在这个错误里面我有这个描述 但是我已经尝试过这些标题 对于它们中的每一个 ...

在 Azure DevOps 上防止 git 存储库上的欺骗

[英]Prevent spoofing on git repositories on Azure DevOps

在 Azure DevOps 的 Git 存储库中欺骗其他用户似乎很容易，因为没有内置的方法可以防止这种情况发生。 我可以使用更改提交者 我可以使用更改作者 Azure DevOps 让我可以简单地推动这些变化。 同样，似乎没有默认方法来确保提交确实来自声称的作者。 当然，我被显示为推动他们的人 ...

Terraform GPG 密钥不匹配

[英]Terraform GPG key mismatch

我正在尝试在 Ubuntu 上安装 Terraform： https://developer.hashicorp.com/terraform/tutorials/docker-get-started/install-cli 在尝试验证 Hashicorp 的 GPG 签名密钥时，我看到了这个命令 ...

如何使用开源 Java 工具（如 PDFBox）清理 PDF？

[英]How to Sanitize PDF with a opensource Java tool ( like PDFBox)?

我正在尝试增强基于 Spring 的 web 应用程序中文件上传段的安全性。 它使用防病毒软件在上传前进行病毒筛选，但是还需要对文件进行消毒或限制上传具有活动内容（javascript、autoaction）的文件。 允许的文件格式为 XLS、DOCX、PDF 以及少数图像格式。 ...

如何让 Java/HtmlUnit 接受旧的或错误的网站证书？

[英]How do I get Java/HtmlUnit to accept an old or bad website certificate?

如果您将 go 转至https://eagletw.mohavecounty.us/treasurer/treasurerweb/search.jsp在 Linux 上使用 Firefox，您会发现您可以正常浏览该网站。 但是当我编译并运行以下程序时： 使用以下命令： 我收到以下运行时错误消息： ...

C 从安全和无bug的角度来看输入法？

[英]C input methods from security and bug free point of view?

我制作了以下代码，我想知道从安全和无错误的角度来看，这是否是 C 中字符串输入的最佳方法。 在用头撞墙一段时间后，我终于找到了问题的解决方案。 有人对此代码有任何改进吗？ 我将大部分功劳归功于 Simon Goater。 ...

2023-01-22 12:30:07   1   83    c / security  
如何使用 express 将 csrf token 实现到 ssr 应用程序中？ 似乎 csurf 已被弃用

[英]How to implement csrf token into ssr application with express? Seems like csurf is deprecated

我想在我的应用程序的服务器端呈现 web 页面中实现一个 csrf 令牌，但不知道这个过程是如何工作的，而 package 我发现教程的使用已被弃用 (csurf)。 我 go 如何实施 csrf？ 真的需要帮助:( 到目前为止，我尝试观看了许多教程，但没有使用带有未弃用的 csrf package ...

仅限 Google Chrome - 您的连接不是私有的。NET::ERR_CERT_COMMON_NAME_INVALID

[英]Google Chrome Only - Your connection is not private NET::ERR_CERT_COMMON_NAME_INVALID

我放下一切，以防它对这个问题有意义。 旧网站在 Wix 上是www.annefreemanyoga.com ，在 Hostinger 上新网站是 annefreemanyoga.com。 Wix 不允许更改 NS 记录，这是标准方法，因此替代方法必须通过 A（IP 地址）和 CNAME（www ...

在Spring提供安全

[英]Provide security in Spring

我正在 React 和 spring 中开发一个基本的 crud web 应用程序。我正在使用 postman 进行测试，因为前端尚未准备好。 我有这个方法，但我刚刚发现任何人都知道该 id 可以发送 HTTP 请求并获取所有数据。 我如何提供安全保障？ 我希望只有登录用户才能看到他的数据。 ...

在查询字符串中使用过滤器参数时可能存在安全漏洞 Microsoft Graph API

[英]Possible security vulnerability Microsoft Graph API when using filter parameter in querystring

考虑以下使用 Microsoft Graph API 的 function： AD Azure 中具有管理权限的后台服务运行此代码。 参数“name”是通过 UI 提供的，用户可以通过在名称中提供以下值来恶意使用： abc' 或显示名称 eq 'SomeOtherGroup' 或显示名称 eq ...


排序:
质量:
 
粤ICP备18138465号  © 2020-2024 STACKOOM.COM