很多公司和企業都有多種web應用和服務開放到網際網路中，一旦這些服務和應用開放到網際網路，就有可能遭到全球黑客的掃瞄和滲透攻擊，這些安全問題就像定時炸彈一樣，隨時都有可能威脅到企業的資訊保安。一但web應用被攻陷後植入後門，攻擊者就會利用這些被攻擊的伺服器作為跳板，從而對內網進行滲透，導致整個內網的淪陷。
1、安全需求分析：在專案接入的初期，提前發現安全問題是最經濟的方法
2、安全掃瞄
3、安全測試
除了掃瞄器之外，還需要人工安全測試方式作為補充，因為掃瞄器存在不足，比如儲存型的xss觸發點不定很難用掃瞄器發現，而一些越權型的漏洞很難用掃瞄器捕捉到，一些業務邏輯上的漏洞掃瞄器根本無法理解。
4、入侵檢測
5、日誌分析
雁過留聲，人過留痕。只要有過攻擊行為或者有過入侵行為都會在日誌中留下蛛絲馬跡，通過對日誌檔案進行分析來發現問題是一種非常常見的手段，一般可以通過可疑日誌+人工分析，可疑日誌+掃瞄器的方法來發現絕大多數的安全問題，同時結合最新的大資料和資料探勘等新技術，可以挖掘更深層次的安全問題，同時捕獲最新的漏洞和攻擊方式。
6、建立src（安全應急響應中心）
通過發動白帽子發現安全問題，做到了企業和白帽子的雙贏
7、和漏洞平台合作
借助第三方漏洞平台的力量和影響力，通過漏洞平台發現安全問題。這種方法成本更低，但相對於主動建立src的方法略顯被動，兩者的結合是現在更加普遍地一種方式
1、防禦
(1)防禦首先要進行輸入檢查，所有的安全問題的根源都是信任問題，所有的web輸入都屬於不可信的範疇，除了常見的使用者輸入之外，還需要注意檔案系統的輸入、系統引數的輸入、環境變數等其他不可控的輸入，進行輸入檢查的注意事項包括
(2)其次還要進行輸出檢查，因為一些內部的錯誤資訊和異常會暴露內部的細節，web的惡意使用者根據暴露的內容推測出內部的實現
(3)針對性的防禦
是目前比較流行的web安全漏洞防禦方法，許多乙方安全公司都提供waf，其原理是對每個web請求進行規則檢查，從而匹配可能的攻擊並進行攔截。waf的好處是對爆發的新漏洞可以及時打乙個虛擬補丁對修復爭取時間，同時waf規則需要專業的維護也可能成為效能的瓶頸。
總結首先對任何外部的不可信輸入進行檢測，其次對內部輸出的各種進行綜合清理，並且對某些特定的漏洞進行針對性的防禦，最後是統一部署waf進行防護。
２、修復
（1）漏洞修復需要乙個強大的知識庫作為支撐，對於各種漏洞的原理、防護方法都要在知識庫中體現，並且針對應用的特點和場景進行定製，安全團隊要針對業務的不同提供可實施的可落地的解決方案，提供詳細的漏洞說明和修復方法，結合公司的開發情況（框架、語言）等進行定製
（2）漏洞修復週期：漏洞修復需要有時間限制，根據漏洞危害等級限制漏洞修復週期，如嚴重漏洞需要在24 小時內修復。在修復之前，安全團隊需要密切的關注漏洞的發展情況，監控應用的安全保證在修復期間內的安全性，waf就是非常有用的手段，可以用waf打乙個虛擬補丁，為漏洞的修復爭取更多的時間。
（3）漏洞複查：技術團隊對漏洞進行修復之後，還需要安全團隊進行複查，保證修復的全面性和完整性。充分和業務方以及開發方進行溝通。
總結；首先針對各種漏洞需要建立知識庫，就像乙個圖書館。其次對漏洞進行分級和分類處理，對不同危害程度的漏洞定製不同二點週期，並且嚴格執行，必要時獲得管理層的支援，安全團隊在修復期間要保證應用的安全，最後安全團隊要對漏洞修復二點完整性進行複查。
安全事件應急響應流程
（1）事件確認
（2）事件匯報
（3)事件處理
（4）歸檔和覆盤
總結：
React事件處理和原生JS事件處理
事件觸發呼叫有三種方式 1.on event 事件屬性，手動觸發 on event 事件是window物件上的方法。2.on event 事件屬性，通過htmlelement.click 模擬觸發 3.addeventlistener監聽事件，手動觸發 this指向 如果onevent事件屬性定義的...
C 中的事件和事件處理
c 中的事件，我覺得和mfc的訊息作用在某些方面是差不多的。這個專案中用到的需求是兩個類之間的資料互動，首先肯定是分為乙個觸發事件的類，乙個處理事件的類。1 首先需要在所有類的外部為事件定義乙個公共訪問型別的 該 為多重 所以 定義方法標識的返回為void型別。一般我們這麼定義 public voi...
CSRF 漏洞處理
由於http協議是無狀態的，所有客戶端和伺服器端的資料交換和鑑權資訊都必須附帶在http請求中。通常情況下，將鑑權資訊放在cookie裡已經足夠。瀏覽器發起請求的時，會自動帶上對應網域名稱的cookie，伺服器端接收到cookie後，就可以準確的判斷是誰在發起請求。但是當攻擊者利用這套機制時，通過在...