为什么谷歌在前面加上 while(1); 到他们的 JSON 响应？
[英]Why does Google prepend while(1); to their JSON responses?
为什么谷歌在前面加上while(1); 到他们的（私人）JSON 响应？ 例如，这是在Google 日历中打开和关闭日历时的响应： 我认为这是为了防止人们对其执行eval() ，但您真正需要做的就是替换while然后您就可以设置了。 我认为 eval 预防是为了确保人们编写安全的 JSON 解 ...
为什么 char[] 优于 String 作为密码？
[英]Why is char[] preferred over String for passwords?
在 Swing 中，密码字段有一个getPassword() （返回char[] ）方法，而不是通常的getText() （返回String ）方法。 同样，我遇到了不要使用String来处理密码的建议。 为什么String在密码方面会对安全构成威胁？ 使用char[]感觉不方便。 ...
如何防止PHP中的SQL注入？
[英]How can I prevent SQL injection in PHP?
这个问题的答案是社区的努力。 编辑现有答案以改进这篇文章。 它目前不接受新的答案或互动。 如果用户输入未经修改就插入到 SQL 查询中，那么应用程序将容易受到SQL 注入的攻击，如下例所示：$unsafe_variable = $_POST['user_input']; mysql_query ...
我应该如何道德地接近用户密码存储以便以后的明文检索？
[英]How should I ethically approach user password storage for later plaintext retrieval?
随着我继续构建越来越多的网站和Web应用程序，我经常被要求以一种方式存储用户的密码，如果/当用户遇到问题时可以检索它们（要么通过电子邮件发送忘记的密码链接，请通过当我能够对抗这种做法时，我会做很多“额外”编程，以便在不存储实际密码的情况下进行密码重置和管理协助。 当我无法抗争（或无法获胜） ...
如何使用 PHP 清理用户输入？
[英]How can I sanitize user input with PHP?
是否有一个 catchall function 可以很好地为 SQL 注入和 XSS 攻击清理用户输入，同时仍然允许某些类型的 HTML 标签？ ...
PHP 密码的安全哈希和盐
[英]Secure hash and salt for PHP passwords
目前据说MD5部分不安全。 考虑到这一点，我想知道使用哪种机制来保护密码。 这个问题， “双重哈希”密码是否比仅哈希一次更安全？ 建议多次散列可能是一个好主意，而如何为单个文件实施密码保护？ 建议使用盐。 我正在使用 PHP。 我想要一个安全快速的密码加密系统。 将密码散列一百万次可能更安全，但 ...
“Bobby Tables”XKCD 漫画中的 SQL 注入是如何工作的？
[英]How does the SQL injection from the "Bobby Tables" XKCD comic work?
只是看着： （来源： https : //xkcd.com/327/ ） 这个 SQL 有什么作用： 我知道'和--都是用于评论的，但是DROP这个词不会被评论，因为它是同一行的一部分吗？ ...
如何避免对 APK 文件进行逆向工程
[英]How to avoid reverse engineering of an APK file
我正在为 Android 开发支付处理应用程序，我想防止黑客从APK文件访问任何资源、资产或源代码。 如果有人将 .apk 扩展名更改为 .zip，那么他们可以解压缩并轻松访问应用程序的所有资源和资产，使用dex2jar和 Java 反编译器，他们还可以访问源代码。 对 Android APK 文件 ...
为什么OAuth v2既有访问令牌也有刷新令牌？
[英]Why Does OAuth v2 Have Both Access and Refresh Tokens?
草案 OAuth 2.0 协议的第 4.2 节表明授权服务器可以返回access_token （用于通过资源验证自己）和refresh_token ，它仅用于创建新的access_token ： https://www.rfc-editor.org/rfc/rfc6749#section-4.2 ...
HTTPS 标头是否加密？
[英]Are HTTPS headers encrypted?
当通过 HTTPS 发送数据时，我知道内容是加密的，但是我听到关于标头是否加密或 header 有多少加密的混合答案。 HTTPS 标头中有多少是加密的？ 包括GET/POST请求URL，Cookies等。 ...
SecurityError：阻止具有源的框架访问跨域框架
[英]SecurityError: Blocked a frame with origin from accessing a cross-origin frame
我在我的 HTML 页面中加载<iframe>并尝试使用 JavaScript 访问其中的元素，但是当我尝试执行我的代码时，出现以下错误： SecurityError: 阻止了来源为“http://www.example.com”的框架访问跨域框架。 如何访问框架中的元素？ 我正在使用 ...
bcrypt 怎么会有内置盐？
[英]How can bcrypt have built-in salts?
Coda Hale 的文章“如何安全地存储密码”声称： bcrypt 内置盐以防止彩虹表攻击。 他引用了这篇论文，其中说在 OpenBSD 的bcrypt实现中： OpenBSD 从 arcfour (arc4random(3)) 密钥 stream 生成 128 位 bcrypt salt ...
绕过 mysql_real_escape_string() 的 SQL 注入
[英]SQL injection that gets around mysql_real_escape_string()
即使使用mysql_real_escape_string()函数，是否也有 SQL 注入的可能性？ 考虑这个示例情况。 SQL 在 PHP 中是这样构造的： 我听到很多人对我说，即使使用了mysql_real_escape_string()函数，这样的代码仍然很危险并且可能被破解。 但我想不 ...
PDO 准备好的语句是否足以防止 SQL 注入？
[英]Are PDO prepared statements sufficient to prevent SQL injection?
假设我有这样的代码： PDO 文档说： 准备好的语句的参数不需要被引用； 司机为您处理。 这真的是我避免 SQL 注入所需要做的全部吗？ 真的那么容易吗？ 如果它有所作为，您可以假设 MySQL。 另外，我真的只是对使用准备好的语句来对抗 SQL 注入感到好奇。 在这种情况下，我不 ...
身份验证与授权
[英]Authentication versus Authorization
web 应用程序的上下文有什么区别？ 我经常看到缩写“auth”。 它代表授权还是授权？ 或者两者兼而有之？ ...
JWT(JSON Web Token)自动延期到期
[英]JWT (JSON Web Token) automatic prolongation of expiration
我想对我们新建的REST API实现基于JWT的认证，但是由于token中设置了过期时间，是否可以自动延期呢？ 如果用户在那段时间积极使用该应用程序，我不希望他们每隔 X 分钟就需要登录一次。 那将是一个巨大的用户体验失败。 但是延长到期时间会创建一个新令牌（旧令牌在到期之前仍然有效）。 在每个请求 ...
为什么使用 JavaScript eval 函数是个坏主意？
[英]Why is using the JavaScript eval function a bad idea?
eval 函数是一种强大而简单的动态生成代码的方法，那么有什么注意事项呢？ ...
如何从证书和私钥创建.pfx 文件？
[英]How to create .pfx file from certificate and private key?
我需要 .pfx 文件来在 IIS 上的网站上安装 https。 我有两个单独的文件：证书（.cer 或 pem）和私钥（.crt），但 IIS 只接受 .pfx 文件。 我显然安装了证书并且它在证书管理器 (mmc) 中可用但是当我 select 证书导出向导时我不能 select PFX 格式 ...
如果您可以解码 JWT，它们如何安全？
[英]If you can decode JWT, how are they secure?
如果我得到一个JWT并且我可以解码有效载荷，那么它如何安全？ 难道我不能从 header 中取出令牌，解码并更改有效负载中的用户信息，然后使用相同的正确编码密码将其发回吗？ 我知道它们一定是安全的，但我真的很想了解这些技术。 我错过了什么？ ...