安全编程-权限控制

待我称王封你为后i 2022-08-10 11:47 229阅读 0赞

目前几乎在任何系统中都会有权限管理。权限管理一般指根据系统设置的安全规则或者[安全策略][Link 1]，用户可以访问而且只能访问自己被授权的资源。

一般在权限控制中包含3个方面：

*  主体，是一个主动地实体，它可以提出对一些资源或者数据的访问请求，主体可以是能够访问信息的用户或进程。
 *  客体，是含有被访问信息的被动实体，客体可以是计算机、数据库、文件、目录等。
 *  安全规则，是一套规定主体是否可以访问客体的规则。访问规则规定了哪些主体可以访问哪些客体。

在对主体进行授权时应遵循最小权限原理，最小权限原理的含义是系统的每一个程序与每一个用户应该在必需的最小权限组下来运行以完成工作。一个程序或用户拥有的权限越多，它可能导致的潜在破坏就越大。减少可能的操作会降低程序可能导致的风险。

授权就是指对特定资源的存取访问权，它主要是根据事先定义好的安全策略或者访问控制规则，决定访问实体是否被允许访问具体的资源。现在大部分的Web服务都是使用角色进行权限控制。授权问题一般是指访问了没有授权的资源或者信息，根据产生的原因分为两类：

*  水平越权，是指同一个级别的用户利用程序的漏洞，越权访问、修改甚至删除另外一个用户的私有信息和资源。
 *  垂直越权，一个角色或者级别的用户可以访问另外一个角色或者级别的用户信息，或者是以另外一个角色或者级别的名义做一些操作。

如果用户的权限控制不当，可能导致网站的用户信息被泄露、数据被篡改，甚至网站的控制也可能被接管。下面列出几点注意事项和预防措施。

1) 验证一切来自客户端的参数，特别是和权限相关的参数，如用户ID或者角色ID等。

2) 用户认证状态不要发送到客户端，不要相信来自任何客户端发来的认证和授权信息。

3) 对于每一个页面的任何一个访问内部资源的请求，都要验证是否有权限，包括是否对指定的资源有权限，而且还要检查所有权。

4) 把应用程序分成匿名、正常、授权的和管理的区域，通过仔细地将角色和数据以及功能匹配，减少攻击面。

5) 不要分散授权，要集中授权。

6) Web应用程序最好有一个统一的授权和认证机制，也可以使用第三方的框架结构。

7) 在添加用户时，应该默认将用户的权限设置为最低权限，然后再根据实际所需添加相应的权限。

8) 一些关键的路径（例如：管理员的管理页面）不应该很容易被猜测到。

9) 最小权限原则，也就是使用符合需求的最小权限的用户运行Web应用程序，使用符合需求的最小权限访问数据库。

[Link 1]: http://baike.baidu.com/view/160028.htm

发表评论取消回复

表情：

评论列表（有 0 条评论，229人围观）

还没有评论，来说两句吧...

相关阅读

相关 Java安全编程：密码加密、权限控制等常见问题示例

在Java中，我们通常使用一些库来处理密码加密和权限控制等问题。以下是几个常见的例子： 1. 密码加密： - 使用java.util.Base64进行Base64编码，

矫情吗；*/ 2024年09月17日 23:42/ 0 赞/ 56 阅读

相关登陆认证&权限控制（2）—— 基于Spring security 安全框架的权限管理 & 注解式权限控制 & RABC模型

![在这里插入图片描述][df88807dd3cc4b8baa96d534c0a8cbda.png] 前言登陆认证，权限控制是一个系统必不可少的部分，一个开放访问的系

Myth丶恋晨/ 2024年02月19日 08:54/ 0 赞/ 50 阅读

相关 redis密码设置、访问权限控制等安全设置

本文转自至：[http://www.cnblogs.com/langtianya/p/5189234.html][http_www.cnblogs.com_langtianya

╰半橙微兮°/ 2024年02月17日 21:54/ 0 赞/ 8 阅读

相关 MongoDB 3.0安全权限访问控制

MongoDB的安全权限访问控制，国内出版的书籍，网上找到博文全是使用db.addUser(username,password)来增加用户。在MongoDB 3.0中执行次方

灰太狼/ 2022年08月20日 10:30/ 0 赞/ 228 阅读

相关安全编程-权限控制

目前几乎在任何系统中都会有权限管理。权限管理一般指根据系统设置的安全规则或者[安全策略][Link 1]，用户可以访问而且只能访问自己被授权的资源。一般在权限控制中包含3个

待我称王封你为后i/ 2022年08月10日 11:47/ 0 赞/ 230 阅读

相关 redis密码设置、访问权限控制等安全设置

redis作为一个高速数据库，在互联网上，必须有对应的安全机制来进行保护，方法有2，如下。 1.比较安全的办法是采用绑定IP的方式来进行控制。请在redis.conf文

雨点打透心脏的1/2处/ 2022年06月13日 10:11/ 0 赞/ 246 阅读

相关权限控制

原文：[http://baike.baidu.com/view/2108713.htm?fr=aladdin][http_baike.baidu.com_view_210871

╰半夏微凉°/ 2022年04月12日 02:44/ 0 赞/ 369 阅读

相关 redis密码设置、访问权限控制等安全设置

[redis密码设置、访问权限控制等安全设置][redis] redis作为一个高速数据库，在互联网上，必须有对应的安全机制来进行保护，方法有2，如下。 1.比较安全的

╰+攻爆jí腚メ/ 2022年04月08日 14:25/ 0 赞/ 267 阅读

相关 mongoDB 3.0 安全权限访问控制

[http://ibruce.info/2015/03/03/mongodb3-auth/][http_ibruce.info_2015_03_03_mongodb3-auth

深碍√TFBOYSˉ_/ 2022年03月02日 05:00/ 0 赞/ 227 阅读

相关 MongoDB 安全和访问权限控制

MongoDB的访问控制能够有效保证数据库的安全，访问控制是指绑定Application监听的IP地址，设置监听端口，使用账户和密码登录一，访问控制的参数 1，绑定IP地

秒速五厘米/ 2022年02月03日 09:21/ 0 赞/ 240 阅读