![](https://csdnimg.cn/release/download_crawler_static/16523461/bg4.jpg)
XXX 安全开发参考
2
4.8 支付结果须校验返回订单号和订单详情是否匹配 ................................................................... 7
4.9 大额提现设置审批流程,小笔金额限制操作次数和频率 ....................................................... 8
5 常见重点安全漏洞 ................................................................................................................................ 8
5.1 XSS 问题 ........................................................................................................................................ 8
5.2 CSRF 问题 ...................................................................................................................................... 9
5.3 SQL 注入问题 .............................................................................................................................. 11
5.4 未验证的重定向和转发问题 ..................................................................................................... 11
5.5 越权类漏洞问题 ......................................................................................................................... 12
5.6 商业加密体系独立于基础参数加密体系 ................................................................................. 13
5.7 批量操作类问题 ......................................................................................................................... 13
5.8 上传类问题 ................................................................................................................................. 14
5.9 硬编码问题 ................................................................................................................................. 14
5.10 存储安全问题 ............................................................................................................................. 14
5.11 信息泄露问题 ............................................................................................................................. 14
5.12 身份验证问题 ............................................................................................................................. 15
5.13 会话安全问题 ............................................................................................................................. 15
5.14 资源消耗问题 ............................................................................................................................. 15
5.15 数值类问题 ................................................................................................................................. 15
6 安全合规问题 ...................................................................................................................................... 16
6.1 用户操作应记录应用操作日志 ................................................................................................. 16
6.2 业务日志禁止保存用户登录凭据 ............................................................................................. 16
6.3 接口返回数据最小化 ................................................................................................................. 16
6.4 用户退出后回退不可回到已登陆页面 ..................................................................................... 16
6.5 建议设计密码定期修改提醒机制(三个月) ......................................................................... 16
6.6 未投入运营的系统或功能下线处置 ......................................................................................... 16
6.7 禁止将日志直接保存在可被浏览器访问到的 WEB 目录中 ..................................................... 16
7 附则 ...................................................................................................................................................... 16