Web 应用安全验证标准之二 -- 会话管理Session

「爱情、让人受尽委屈。」 2022-02-17 03:01 195阅读 0赞

<table style="margin-left:-1pt;width:514pt;"> 
 <tbody> 
 <tr> 
 <td style="width:54pt;"> Item </td> 
 <td style="width:406pt;"> 验证内容 </td> 
 <td colspan="3" style="width:54pt;"> 等级 </td> 
 <td>&nbsp;</td> 
 </tr> 
 <tr> 
 <td style="width:18pt;"> 1 </td> 
 <td style="width:18pt;"> 2 </td> 
 <td style="width:18pt;"> 3 </td> 
 <td>&nbsp;</td> 
 </tr> 
 <tr> 
 <td style="width:54pt;"> V2.1 </td> 
 <td style="width:406pt;"> 验证应用系统使用的是框架自带的会话管理机制。 </td> 
 <td style="width:18pt;"> V </td> 
 <td style="width:18pt;"> V </td> 
 <td style="width:18pt;"> V </td> 
 <td>&nbsp;</td> 
 </tr> 
 <tr> 
 <td style="width:54pt;"> V2.2 </td> 
 <td style="width:406pt;"> 验证当用户注销时，服务器会销毁session。 </td> 
 <td style="width:18pt;"> V </td> 
 <td style="width:18pt;"> V </td> 
 <td style="width:18pt;"> V </td> 
 <td>&nbsp;</td> 
 </tr> 
 <tr> 
 <td style="width:54pt;"> V2.3 </td> 
 <td style="width:406pt;"> 验证当经过一段时间的闲置未操作时，应用系统会自动注销会话。 </td> 
 <td style="width:18pt;"> V </td> 
 <td style="width:18pt;"> V </td> 
 <td style="width:18pt;"> V </td> 
 <td>&nbsp;</td> 
 </tr> 
 <tr> 
 <td style="width:54pt;"> V2.4 </td> 
 <td style="width:406pt;"> 验证在所有需要认证才能访问的页面上都存在注销功能。 </td> 
 <td style="width:18pt;"> V </td> 
 <td style="width:18pt;"> V </td> 
 <td style="width:18pt;"> V </td> 
 <td>&nbsp;</td> 
 </tr> 
 <tr> 
 <td style="width:54pt;"> V2.5 </td> 
 <td style="width:406pt;"> 验证session id只存在于cookie字段中，而不会泄漏在URL、错误信息以及日志中。 </td> 
 <td style="width:18pt;"> V </td> 
 <td style="width:18pt;"> V </td> 
 <td style="width:18pt;"> V </td> 
 <td>&nbsp;</td> 
 </tr> 
 <tr> 
 <td style="width:54pt;"> V2.6 </td> 
 <td style="width:406pt;"> 验证用户注销时session id会被清除或改变。 </td> 
 <td style="width:18pt;"> V </td> 
 <td style="width:18pt;"> V </td> 
 <td style="width:18pt;"> V </td> 
 <td>&nbsp;</td> 
 </tr> 
 <tr> 
 <td style="width:54pt;"> V2.7 </td> 
 <td style="width:406pt;"> 验证应用系统使用“httponly”属性保护cookie不被JS脚本读取。 </td> 
 <td style="width:18pt;"> V </td> 
 <td style="width:18pt;"> V </td> 
 <td style="width:18pt;"> V </td> 
 <td>&nbsp;</td> 
 </tr> 
 <tr> 
 <td style="width:54pt;"> V2.8 </td> 
 <td style="width:406pt;"> 验证应用系统使用“secure”属性保护cookie只在加密通道中传输。 </td> 
 <td style="width:18pt;"> V </td> 
 <td style="width:18pt;"> V </td> 
 <td style="width:18pt;"> V </td> 
 <td>&nbsp;</td> 
 </tr> 
 <tr> 
 <td>&nbsp;</td> 
 </tr> 
 <tr> 
 <td style="width:54pt;"> V2.9 </td> 
 <td style="width:406pt;"> 验证应用系统会在用户登录后改变session id来防止会话定置攻击。 </td> 
 <td style="width:18pt;"> 　 </td> 
 <td style="width:18pt;"> V </td> 
 <td style="width:18pt;"> V </td> 
 <td>&nbsp;</td> 
 </tr> 
 <tr> 
 <td style="width:54pt;"> V2.10 </td> 
 <td style="width:406pt;"> 验证应用系统会在用户进行二次身份认证后改变session id。 </td> 
 <td style="width:18pt;"> 　 </td> 
 <td style="width:18pt;"> V </td> 
 <td style="width:18pt;"> V </td> 
 <td>&nbsp;</td> 
 </tr> 
 <tr> 
 <td style="width:54pt;"> V2.11 </td> 
 <td style="width:406pt;"> 验证应用系统只使用框架产生的session id。 </td> 
 <td style="width:18pt;"> 　 </td> 
 <td style="width:18pt;"> V </td> 
 <td style="width:18pt;"> V </td> 
 <td>&nbsp;</td> 
 </tr> 
 <tr> 
 <td style="width:54pt;"> V2.12 </td> 
 <td style="width:406pt;"> 验证应用系统使用的session id具有足够的长度、复杂度和随机性。 </td> 
 <td style="width:18pt;"> 　 </td> 
 <td style="width:18pt;"> V </td> 
 <td style="width:18pt;"> V </td> 
 <td>&nbsp;</td> 
 </tr> 
 <tr> 
 <td style="width:54pt;"> V2.13 </td> 
 <td style="width:406pt;"> 验证使用cookie进行身份验证的会话令牌是否将其路径设置为该站点的适当限制值。不应设置域cookie属性限制，除非是针对业务需求，如单点登录。 </td> 
 <td style="width:18pt;"> 　 </td> 
 <td style="width:18pt;"> V </td> 
 <td style="width:18pt;"> V </td> 
 <td>&nbsp;</td> 
 </tr> 
 <tr> 
 <td>&nbsp;</td> 
 </tr> 
 <tr> 
 <td style="width:54pt;"> V2.14 </td> 
 <td style="width:406pt;"> 验证应用系统不允许在不同的机器上同时并发相同的session。 </td> 
 <td style="width:18pt;"> 　 </td> 
 <td style="width:18pt;"> V </td> 
 <td style="width:18pt;"> V </td> 
 <td>&nbsp;</td> 
 </tr> 
 <tr> 
 <td style="width:54pt;"> V2.15 </td> 
 <td style="width:406pt;"> 验证可通过管理接口配置session最长有效期，当session超过有效期时会被强制注销。 </td> 
 <td style="width:18pt;"> 　 </td> 
 <td style="width:18pt;"> 　 </td> 
 <td style="width:18pt;"> V </td> 
 <td>&nbsp;</td> 
 </tr> 
 </tbody> 
</table>