提升前端安全性 檢查表

-
1.加上安全的header
https://devco.re/blog/2014/03/10/security-issues-of-http-headers-1/

2.頁面端傳遞變數時，將其編碼，以免有些參數跑掉了
透過javascript傳遞值，要再加上 encodeURIComponent() 做urlEncode
若使用  encodeURI()  
  • 不編碼符號包括: ~!@#$&*()=:/,;?+'
(轉引自 https://blog.longwin.com.tw/2010/01/javascript-encodeuri-component-utf-8-2010/)

 3.不要相信前端傳遞的資料。關鍵的代碼需要在後端編碼過，再傳到前端。

留言

張貼留言

這個網誌中的熱門文章

The Disk2vhd Disaster — and How StarWind’s V2V Brought Redemption! --About Windows Server 2012 STD P2V

-
Our company has been operating a Windows Server 2012 STD host installed on a physical 2U rack server for years. As services on the machine are nearing decommission and hardware failure risks are increasing, we've decided to virtualize the system to streamline operations. Summary(Suggestion) Use StarWind’s V2V Converter / P2V Converter directly — it saves valuable time. If you have sufficient privileges, the converted system can be mounted directly to another Hyper-V host . If the server has multiple partitions , choose to clone the entire physical machine. Avoid converting individual disks separately to prevent unexpected complications. Background ChatGPT and Microsoft’s commonly recommended P2V conversion tool is Disk2vhd . It allows conversion without shutting down Windows. Most articles from ~10 years ago suggest this tool. I initially tried splitting the system: storing the recovery and C drive in one VHD, and the database D drive in another, to reduce file size. Sy...
Read more »

如何刪除Trello的卡片資訊 (deleting Trello cards)

-
圖片
Trello是個很棒的圖形化任務管理工具，對於想試試任務管理、看板方法的人相當有幫助。依照Ruddy Lee 所言 [ 原文出處 ] ，「讓工作流程被視覺化，讓我們的決策更接近事實、更容易作為改善的依據、更容易管理及更有效率」。這句話實在說得太棒了。 Trello很容易上手，唯獨在某件事情上有些困擾。如果放了不需要的卡片，該如何將其真的刪掉呢？依照程式預設的介面，卡片只是被「封存」(Archive)，實際上還存在Trello之中。 原來的Trello應該是考慮防呆或誤刪，不讓卡片輕易消失。但這樣容易累積很多垃圾卡片，日子久了很難進行整理。 參考Trello的 [ 官網 ]，真的要刪掉任務卡片，請點 Archive按鈕下面的一行灰色小字 Share and more....，在展開的對話方塊的最下方， 才會出現 Delete的選項。這樣，才是真正的刪除。
Read more »

Redis 在 C#的應用

-
Redis適用的場合   1.代替主機的Session機制，利於擴展多部主機  2.簡單、不講求精準的計數，如人氣排行榜等；可以容忍部分lost  3.極端要求前端回應速度、使用者體驗好的場合 (轉址查詢) 4.有許多人查詢"共同"、高度相似的資料集，讀多於寫 (查選課...火車班表...公車路線) 5.有某些資料是會定期失效清除的(Token) ，例如實作登入失敗進行鎖定的機制 6.競爭性資源的鎖定機制，例如 搶票系統的交易鎖( SETNX )   Redis不適用的場合   1.只有後端管理者在使用的場合，沒有多人競爭、搶快的必要 2.全都講求即時計算，不能接受時間差  3.因為精準數問題，避免儲存金額或是貨幣數字 4.沒有足夠資源建置cluster機制，單點失效或快取miss造成的損失與遲滯問題反而更嚴重   Redis Key的設計與使用 1.利用namespace的方式來標示有意義的內容，如 usr:vip:faculty:sigfried  2.key 跟 value不要過長(key 小於1K)  3.思考每筆key的生命週期該存活多久，設定有效期限  4.針對人、事、物資料可以把資料抽象到一個雜湊表裡；不要把JSON 的key-value 組合拆開、一個個當字串值塞進redis 的value  5. keys 指令 會把效能拖垮， 用 keys xxxxx* 無法預估筆數；應該 用scan 取代，可以限制回傳筆數、分批執行，例如 redis-cli scan 0 match key99* count 1000  6.設計key 時避免使用特殊字元     Redis Key的設定與組態 1.記得設定密碼認證，並限定存取來源 2.將敏感、耗時語法rename，避免在production遭到誤用，例如:  rename-command keys mykeysys 3.C#應用不使用using資源語法，因為是單執行緒 4.利用docker環境安裝 5.擷取 redis 最大占用記憶體      config get maxmemory  6...
Read more »