[if !supportLists]1、[endif]跨站脚本攻击：直接获得数据或者获得系统管理员权限，可随意读取文件，如SQL注入
[if !supportLists]2、[endif]Cookie属性存储敏感信息，未设置http-only
[if !supportLists]3、[endif]fiddler断点篡改
[if !supportLists]4、[endif]绕过认证，如前端认证限制，但是接口未限制
[if !supportLists]5、[endif]验证码失效，验证码应存在过期机制，如在5分钟内有效
[if !supportLists]6、[endif]弱密码，如纯数字，纯英文，短密码，轻松通过编程枚举法暴力破解
[if !supportLists]7、[endif]垂直越权，未对用户鉴权，不同角色用户之间可以置换token调用接口访问对方资源，应该对身份进行鉴权，不满足权限时返回401提示，与平行越权类似，只是垂直越权是下级访问上级，平行越权是同级访问
[if !supportLists]8、[endif]会话固定，用户登出后或者长期不操作，token不会失效，重新使用该token调用其他下游接口依旧可以得到正确响应，建议2小时过期一次并登出系统
[if !supportLists]9、[endif]SQL注入，可通过植入sql返回数据库提示，从而得到用户账号密码等信息，建议一律返回系统提示文案
[if !supportLists]10、[endif]登录爆破，未对系统登录次数和用户锁定做限制，存在反复尝试暴力破解密码的风险，建议当登录错误次数达到5次后锁定1小时
[if !supportLists]11、[endif]明文传输，登录和密码或者手机号用户姓名等敏感信息在传输过程中一明文形式传输，存在泄露风险，需后端加密传输
[if !supportLists]12、[endif]多终端登录，系统账号可以再多个终端同时登录，不会被挤出系统，建议后者登录时，退出前者系统，并给予提示
网友评论