- 综合排序
- 最热优先
- 最新优先
- 来自专栏c语言与cpp编程
C++最佳实践 | 3. 安全性
本系列是开源书C++ Best Practises[1]的中文版，全书从工具、代码风格、安全性、可维护性、可移植性、多线程、性能、正确性等角度全面介绍了现代C++项目的最佳实践。 C++最佳实践: 1. 工具 2. 代码风格 3. 安全性（本文） 4. 可维护性 5. 可移植性及多线程 6. 性能 7. 避免访问裸内存 C++中很难在没有内存错误和泄漏风险[3]的情况下正确处理裸内存的访问、分配和回收，C++11提供了避免这些问题的工具。 避免出现测量了3次，然后切割0.9999999999981次这种情况。 虽然可以定义此类函数，但可能存在安全风险。可变参数函数的使用不是类型安全的，错误的输入参数可能导致程序以未定义的行为终止。这种未定义的行为可能会导致安全问题。
1.4K10编辑于 2022-10-31 - 来自专栏我的安全视界观
【基础安全】堡垒机的自动化功能实践3
此方案存在以下问题： 1）编写复杂，任何一个独立的步骤都需要调用几个接口，调试与编写变得复杂化； 2）拓展性差，如果需要更新某个步骤中的某一个子操作，则需要与同步骤的接口一起调试； 3）同步性难实现，接口之间若用同步实现 从上图可以看出： 1）业务逻辑之间，通过推送与订阅的机制来进行消息沟通，一对多，还是一对一，只依赖具体的业务场景； 2）由于划分了众多子步骤，可以允许多语言开发，极大的提高了协作效率 3）子操作更新，仅只需要更新此子操作
68620发布于 2019-03-06 - 来自专栏AI
安全最佳实践
使用我们的免费 Moderation APIOpenAI 的 Moderation API 是免费使用的，可以帮助减少您完成中不安全内容的频率。 通过经过验证的下拉字段允许用户输入（例如，维基百科上的电影列表）可能比允许开放式文本输入更安全。 在可能的情况下，从后端返回经过验证的一组材料的输出可能比返回新生成的内容更安全（例如，将客户查询路由到最匹配的现有客户支持文章，而不是尝试从头回答查询）。 安全性和保障对我们在 OpenAI 的重要性不言而喻。如果在开发过程中您注意到 API 或与 OpenAI 相关的任何其他内容存在任何安全问题或安全问题，请通过我们的协调漏洞披露计划提交这些问题。
51610编辑于 2024-05-12 - 来自专栏AI SPPECH
016_移动端Web3安全：移动钱包防护与应用安全最佳实践
DNS劫持：DNS服务器可能被劫持，导致错误的域名解析 网络流量分析：通过分析网络流量获取用户行为信息 基站模拟器：使用伪基站拦截或监听通信 7.2 安全连接最佳实践 为了保障移动Web3应用的通信安全 ，应遵循以下最佳实践： 强制HTTPS：所有通信必须使用HTTPS加密 证书固定：实施证书固定（Certificate Pinning）防止中间人攻击 安全协议：使用TLS 1.3等最新安全协议 证书验证 移动Web3安全开发 8.1 安全开发生命周期 移动Web3应用的安全开发生命周期应包括： 需求阶段安全：在需求阶段考虑安全要求 设计阶段安全：安全架构设计和威胁建模 开发阶段安全：安全编码实践和代码审查 安全配置与最佳实践 9.1 设备安全配置 移动设备的安全配置对Web3应用安全至关重要： 系统更新：保持操作系统和安全补丁最新 锁屏安全：设置强密码、PIN或生物识别锁屏 设备加密：确保设备全盘加密已启用 权限管理：仔细审查和管理应用权限 查找我的设备：启用设备追踪和远程擦除功能 应用来源：仅从官方应用商店下载应用 9.2 应用安全设置 移动Web3应用的安全设置最佳实践： 自动锁定：设置应用自动锁定时间
37410编辑于 2025-11-18 - 来自专栏FreeBuf
Powershell最佳安全实践
在这篇文章中，我们将跟大家讨论PowerShell的最佳实践方式，而本文的内容将能够帮助你对抗那些使用PowerShell来攻击你的人。 PowerShell是什么? PowerShell安全最佳实践 考虑到某些组织因为需求关系不能禁用或删除PowerShell，下面给出的几条安全实践建议可以帮助你在享受PowerShell的高效性时免受网络威胁的困扰。 3. .2 自定义使用.NET Framework（不涉及到PowerShell.exe的执行） PowerShell脚本混淆 上面列举出的只是其中的一小部分技术，但“记录PowerShell活动”那部分的安全实践建议可以检测其中的绝大部分绕过行为 虽然这种操作可能不适用于某些特殊的企业环境，但相关的网络管理员也应该尽量部署并激活本文所介绍的安全保护技术，并及时更新攻击识别信息。
2.6K100发布于 2018-02-27 - 来自专栏安全乐观主义
GitHub安全最佳实践
写在前面 GitHub安全最佳实践列表 1.不要将凭证作为代码/配置存储在GitHub中。 2.删除文件中的敏感数据和GitHub历史记录 3.限制访问控制 4.增加SECURITY.md文件 5.严格验证GitHub上的第三方应用 6.在PR阶段添加安全性测试 7.选择合适的GitHub来满足安全需求 本文，以安全维度系统介绍了维护仓库安全应该要做的事，可以作为安全组织对标的cheat sheet。 GitHub 安全最佳实践列表 1. 同样，添加一个突出显示项目安全相关信息的 SECURITY.md 文件也变得越来越普遍。它不仅为用户提供了他们需要的重要安全信息，而且还迫使维护人员考虑如何处理安全披露、更新和一般的安全实践。 不那么安全的认证措施包括：依赖一个私有加密算法来授权输入，或者暴露如何选择的随机种子。即使对于一个私有的源代码项目，用开源的思想来选择随机数也是一个很好的实践。
1.4K10发布于 2019-11-20 - 来自专栏木子墨的前端日常
Nginx实践--安全升级
此外，除了安全性方面，使用内网ip进行接口转发也省去了转发中的DNS重新解析的过程，有利于大幅提升接口转发效率。 综上，在proxy_pass转发中我们使用了两种方案来对安全性做一些提升 proxy_pass转发到外网域名，同时在接口服务器上添加访问来源白名单，把nginx服务器的ip写进去 proxy_pass转发到内网域名 这样在安全和效率高上就都能得到一定的提升。 如有错误，欢迎大家指正 好好学习，天天向上～～
1.2K30发布于 2018-12-18 - 来自专栏渗透云笔记
代码审计安全实践
第一次写文章,希望大牛们轻喷 一、代码审计安全 代码编写安全: 程序的两大根本:变量与函数 漏洞形成的条件:可以控制的变量“一切输入都是有害的 ” 变量到达有利用价值的函数（危险函数）“一切进入函数的变量是有害的 变量安全: 秉承一个原则 “一切输入都是有害的” 预定义变量[常规外部提交的变量]: 除了$_GET，$_POST，$_Cookie的提交之外，还来源于$_SERVER，$_ENV， $_SESSION 通读全部代码 四、安全编程规范: 1.SQL注入防护 (1)采用预编译,在Java Web开发一般在采用预处理,在sql语句中放入? 原因在于这样的查询方式是使用了PHP本地模拟prepare,再把完整的SQL语句发送给MySQL服务器，并且有使用setnames'gbk'语句，所以会有PHP和MySQL编码不一致的原因导致SQL注人 (3) 3.命令执行漏洞防范规范: (1) 命令防注入函数: PHP在SQL防注入上有addslashes()和mysql_[real_]escape_string()等函数过滤SQL语句，输人一个string
2.1K30发布于 2019-11-11 - 来自专栏FreeBuf
企业FRP安全实践
看到的第一反应是无论此事真假，但如果发生在我司，安全部有没有能力去发现？ 文章核心内容如下： 两种常用模式的示例 如何提取特征进行安全检测 绕过安全检测的思路 1.2 frp简介 frp 是一个专注于内网穿透的高性能的反向代理应用，支持 TCP、UDP、HTTP、HTTPS 可以将内网服务以安全、便捷的方式通过具有公网 IP 节点的中转暴露到公网。 为什么使用 frp ？ 3.3 针对于客户端 流量分析类安全产品可以根据特征检测。 ? 四、绕过思路 4.1 数据包特征分析 传统的流量分析安全设备是根据规则来命中事件类型，那么我们来研究一下数据包有什么特征。 也欢迎各位安全同僚拍砖、交流和技术分享！
2.1K20发布于 2021-01-12 - 来自专栏API技术
API 安全最佳实践
然而，API 的开放性也带来了潜在的安全挑战。因此，确保强大的 API 安全机制对于保护敏感信息和维护系统的完整性至关重要。 在本篇文章中，我们将深入研究 API 的安全性，并通过使用 C# 的实际示例探索一些基本机制。API安全简介API 安全是为了防范未经授权的访问、数据泄露以及其他潜在风险而采取的一系列实践和技术。 (TLS) 或安全套接字层 (SSL) 加密可确保客户端和 API 服务器之间的安全通信。 app.UseSerilogRequestLogging(); // More middleware and configurations }}结论除了上述流程，API 安全最佳实践还应关注以下四点 通过整合这些最佳实践，开发人员可以构建强大且安全的 API，从而为更安全的数字生态系统做出贡献。原文链接：Best Practices of API Security.
1.8K10编辑于 2023-12-20 - 来自专栏Linyb极客之路
HTTPS安全最佳实践
3. 检查HTTP标头 有几个HTTP标头header可以控制具有安全隐患的方面，虽然并非所有这些标头都与HTTPS相关。 这个网站(https://securityheaders.com/)能帮助检查安全头，它提供了一些很重要标头的说明。 4. （2）使用安全的cookie 任何未标记为安全的 cookie 都可以通过HTTP和HTTPS发送，反过来，攻击者可以使用它来模仿HTTPS站点上的用户。 确保使用安全的cookie。 6. 要获取列表，你需要发送HSTS标头： 1.在根域，比如jdon.com 而不是www.jdon.com 2.最大年龄至少为一年 3.使用includeSubDomains 4.使用preload预加载
2.3K30发布于 2018-09-27 - 来自专栏云安全社区
云原生安全实践
文章首发于：火线Zone云安全社区 作者：Clare Clare是安全架构师，专注于信息安全攻防研究和深度测试，今天分享的主题是“云原生安全实践”。 我讲的议题是，云原生安全实践，主要从两个方面来介绍云原生安全。 第一个是云原生安全面临的风险 第二个是云原生安全实践 云原生的定义：它是一种构建和运行应用程序的现代方法，它主要代表的是容器，微服务，持续集成交付和devops为代表的一个技术体系。 所以相对于传统安全，云原生安全仍然是真正的挑战。 云原生安全，它是一种保护云原生平台及基础设施和整个应用程序安全实践，包括自动化数据分析，威胁检测，确保应用整个安全性及纵深防御。 平台的安全管控，和其他相关联的安全隐患，都会对云平台导致很大的风险。 接下来第二个，就是云原生安全实践，主要讲述在云原生整个过程中，如何应对遇到的风险。
1.2K31编辑于 2022-03-17 - 来自专栏远哥制造
【云安全最佳实践】浅析云立体防护的 3 + 1 道防线
云防火墙从「云防火墙」中的「云立体防护」中可以直观的看到有 3 道防线以及加固防线第 1 道防线是「云防火墙」第 2 道防线是「Web应用防火墙」第 3 道防线是「主机安全」和「容器安全」加固防线包含「 DDoS防护」、「DDoS防护」、「安全运营中心」和「威胁情报平台」图片接下来会介绍一下自己都曾经使用过了哪些服务，不过只包含了第 1 道和第 3 道0x02. T-Sec 主机安全位于第 3 道防线，实际使用其实就是在服务器上安装 Agent，也就是 YunJing，在新购云主机或轻量机时可手动勾选上在轻量机的「主机安全」里就可以看到，如果提升没有安装可以点击 容器安全服务 TCSS和「T-Sec 主机安全」同位于第 3 道防线，在TechoDay 中也有提到过图片1. 后记综上所述，腾讯云的安全产品分工明确，是比较完善的。
107.9K62编辑于 2022-11-18 - 来自专栏ZC.TigerRoot
HTTPS 安全最佳实践（二）之安全加固
HTTPS 安全最佳实践（二）之安全加固 当你的网站上了 HTTPS 以后，可否觉得网站已经安全了？这里 提供了一个 HTTPS 是否安全的检测工具，你可以试试。 本篇正文讲述的是 HTTP 安全的最佳实践，着重在于 HTTPS 网站的 Header 的相关配置。 它提供了 include subdomains 选项，这在实践中可能是太宽泛了。 如果是这样的话，那么从一个较小的实践开始，如果在一段时间之后没有遇到问题，就增加它。如果 SSL/TLS 密钥需要更新，建立备份计划。优先创建备份密钥和离线存储。 示例HTTP头: Public-Key-Pins: max-age=5184000; pin-sha256="+oZq/vo3Kcv0CQPjpdwyInqVXmLiobmUJ3FaDpD/U6c=";
3.1K10发布于 2020-04-30 - 来自专栏云鼎实验室的专栏
安全验证 | 容器安全的验证度量实践
本文将结合腾讯云在容器安全的运营实践，分析介绍如何通过安全验证度量，从攻击者视角持续发现防御的弱点，提升防御水平，实现云原生架构下的高质量安全运营。 综合上述几点内容，我们结合腾讯自身的安全运营痛点，建设并实践了基于攻击模拟技术（BAS）的安全验证平台，尤其是针对容器环境进行安全有效性的验证度量，从攻击者视角，模拟真实的攻击，确保整个容器环境的安全可靠 在度量指标的设计上，主要参考以下几个维度的内容进行设计：（1）ATT&CK攻防矩阵框架；（2）腾讯蓝军实践经验以及安全研究成果；（3）腾讯容器安全相关产品能力；（4）腾讯容器安全运营实践；（5）标准、技术要求等行业规范 这些实践经验，一方面会对矩阵的技战法做有效的补充，同时可以从实践的维度，对各个指标从可利用难易度的角度，进行更真实的风险等级划分，使得验证指标有着更好的完整度和可运营、可执行性。 验证指标示例 容器安全验证实践 云原生安全测试平台 2022年6月召开的云原生产业大会上，由中国信通院联合腾讯云、清华大学共同发起成立了云原生安全实验室。
1.1K10编辑于 2024-05-07 - 来自专栏API安全
案例实践 | 某能源企业API安全实践
、业务安全和数据安全防护战线不断延伸，给安全防护带来新压力，增加了“一点突破，影响全网”的风险。 在本年度国家组织的专项检查中发现，部分电厂生产监控网络和互联网相连，极大增加了系统安全风险。国家、行业主管部门一直以来高度重视网络与信息安全工作。 自2014年起，国家网信办、发改委、公安部、国家能源局等主管部门加大对电力信息安全的重点监督管控，相继颁布了《电力监控系统安全防护规定》(2014第14号令)等一系列法令、制度和标准，进一步明确了电网信息安全的重要性 需求场景随着电力系统的逐步在线化和智能化，能源企业的业务系统也面临着对外接口的安全问题，需要制定全面计划并及时发现、测试和保护 API，并将 API 安全纳入其整体应用程序安全策略。 关于星阑星阑科技基于AI深度感知和强大的自适应机器学习技术，帮助用户迅速发现并解决面临的安全风险和外部威胁，并凭借持续的创新理念和以实战攻防为核心的安全能力，发展成为国内人工智能、信息安全领域的双料科技公司
67510编辑于 2023-01-30 - 来自专栏FreeBuf
Java安全编码实践总结
Java作为企业主流开发语言已流行多年，各种java安全编码规范也层出不穷，本文将从实践角度出发，整合工作中遇到过的多种常见安全漏洞，给出不同场景下的安全编码方式。 安全编码实践 Sql注入防范 常见安全编码方法：预编译+输入验证 预编译适用于大多数对数据库进行操作的场景，但预编译并不是万能的，涉及到查询参数里需要使用表名、字段名的场景时(如order by、limit ; } 3.使用语言标准api获取系统信息 “当前用户:”+System.getProperty(“user.name”) 漏洞修复验证 ? 3.不要远程暴露mbean spring.application.admin.enabled=false 4.启用html自动转义 ? 总结 作为安全人员经常会被开发问如何修复漏洞，开发需要具体到某行代码如何改动，通过对常见漏洞的复现利用以及安全编码实践，可以加深安全人员对相关漏洞原理的理解，根据业务需要更具体地帮助开发人员写出健壮的代码
2K30发布于 2020-07-15 - 来自专栏Kirito的技术分享
Nacos配置安全最佳实践
配置安全最佳实践 ---- 捋了一遍 Nacos 配置安全的关键点，那么怎么才能保证配置安全呢。 只需要做到如下最佳实践就可以了： 1、定期修改密码和 ak/sk 在使用 Nacos 用户名密码（或者 AK/SK）认证的情况下（比如使用开源 Nacos 认证方式），如果恶意用户拿到了 Nacos 的用户名和密码 3、轮转 Nacos 内部认证的 key 前文有提到 Nacos 服务器之间的认证是通过 nacos.core.auth.server.identity 来完成的，但如果恶意用户入侵，也会导致泄漏，从而导致配置泄漏 而对于中大型企业，阿里云产品 MSE 支持更加精细、更加灵活的权限配置、安全管理，也能利用和其他阿里云产品一起做到更加安全的配置能力。 当然，不论是自建 Nacos 还是使用阿里云 MSE，都需要关注上述提到的安全点，防止配置信息泄漏，造成业务损失。最后提到的配置安全最佳实践，也能能保证配置泄漏后，有能力及时修复，做到防患未然。
3.3K20发布于 2021-03-17 - 来自专栏我的安全视界观
【SDL最初实践】安全设计
01 — 安全目标 安全团队可以通过引导相关责任人进行自检，要求输出安全检查结果，并推动落实安全整改项来开展安全活动。在此过程中，需关注以下四个基本要素： ? 安全介入时间：产品设计阶段。 3）威胁建模 威胁建模是一种分析应用程序威胁的方法，可识别潜在的安全问题并实施相应解决或缓解措施。 03 — 安全实践 在实际的安全活动中，一般采用安全设计checklist + 威胁建模的模式。 在实践过程中，发现一些比较行之有效的做法： 1）宣贯会上搜集业务方切身需求与体会 通过定期召开“安全评估流程”宣贯，不断搜集来自前端开发、后端开发、产品设计人员等不同参与人员的建议，持续优化现有安全设计 3）扩大相关责任人范围，衔接安全开发 如果仅聚焦于产品设计师可能带来的安全问题，往往难以满足在该阶段的期望（产品设计师输出产品功能原型图、业务流程图，具体功能实现便交由开发）。
2.2K11发布于 2019-11-08 - 来自专栏深度学习与python
容器安全最佳实践入门
作者 | Cloudberry 译者 | 王者 策划 | 万佳 保证容器安全是一项复杂的任务。这个问题域很广，面对大量的检查清单和最佳实践，你很难确定采用哪个解决方案。 所以，如果你要实现容器安全策略，应该从哪里开始呢？ 我建议从最基本的开始：理解容器安全是什么，并构建模型来降低风险。 在编写 Dockerfile 时遵循 Docker 安全最佳实践。 所有这些检查都是静态的，可以很容易在构建管道中实现。 容器镜像扫描 然后，我们可以进行容器镜像扫描。 3容器基础设施安全性 容器基础设施由负责从注册表拉取镜像并在生产环境中作为容器运行的所有活动部件组成。 这主要是容器编配器——Kubernetes。 4运行时安全性 最后一个是工作负载的安全性。到这个时候，大部分的强化工作都已完成，我们将进入反应性安全控制领域，也就是故障后（post-fail）。
87720发布于 2021-01-20
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号