2026-03-24 16:13:32 +08:00
# **4.3 安全编码规范 (防御性编程)**
防御性编程的核心思想是：**假设所有的外部输入都是恶意的，假设内部的依赖调用随时会失败**。安全漏洞一旦在生产环境被利用，对业务和公司声誉的打击往往是毁灭性的。
本规范规定了团队在日常编码中必须遵守的安全底线。
### **4.3.1 常见 Web 漏洞防护底线**
#### **1\. SQL 注入 (SQL Injection) 绝对防线**
* **红线**： ，
* **规范**：
* 默认必须使用框架提供的 ORM 工具（如 Django ORM, SQLAlchemy, MyBatis 动态标签）。
* 如果极其特殊的复杂查询必须执行原生 SQL， （ ） ，
#### **2\. 跨站脚本攻击 (XSS \- Cross-Site Scripting) 防护**
* **输入校验**：在后端接口层（如 DRF Serializer 或 Pydantic）
* **输出转义**：
* 现代前端框架（ ） ， （ ） ，
* **富文本处理**：如果业务确实需要接收和展示用户提交的 HTML 富文本，后端在入库前**必须**使用白名单过滤库（如 Python 的 bleach， ） （ ）
#### **3\. 跨站请求伪造 (CSRF) 防护**
* **无状态 Token 场景（如 JWT） ，
* **Cookie 鉴权场景**：如果项目使用 Cookie 存放 Session ID 或 Token：
* 必须为 Cookie 设置 HttpOnly=True（ （
* 涉及状态修改的接口（ ） ，
### **4.3.2 敏感数据处理规范 (数据安全红线)**
敏感数据（如用户密码、手机号、身份证号、银行卡号、支付凭证）的生命周期必须受到极其严格的管控。
#### **1\. 传输层加密**
* **规范**：生产环境的所有 API 请求、后台管理系统访问，**强制使用 HTTPS (TLS 1.2 及以上版本)**。绝对禁止敏感数据在公网明文传输。
#### **2\. 密码存储红线**
* **红线**：
* **规范**：
* 密码必须使用强单向哈希算法（如 Bcrypt, Argon2， ）
* **禁止使用 MD5 或 SHA1** 作为密码的哈希算法（极其容易被彩虹表破解）。
* 加密过程必须加盐（ ） ，
#### **3\. PII (个人身份信息) 的存储与加密**
* **需解密还原的数据**（如业务人员需要查看真实手机号、发货地址）：必须使用强大的对称加密算法（如 AES-256-GCM） （ ） ， （ ）
* **无需解密的数据**（如仅用于用户登录匹配的手机号）：建议直接使用带盐哈希存储，业务逻辑只做哈希比对。
#### **4\. 数据展示与脱敏 (Data Masking)**
* **红线**：
* **规范**：通过 API 返回给用户终端的敏感信息，必须提前进行掩码截断。
* 手机号：
* 身份证：
* 银行卡：\*\*\*\* \*\*\*\* \*\*\*\* 1234
* 姓名：张\*三 或 \*三
#### **5\. 日志安全红线**
* **红线**：
* **规范**： （ ） ，
### **4.3.3 业务安全与防暴破机制**
* **水平越权防护 (IDOR/BOLA)**：
* 永远不要相信用户提交的资源 ID。在修改或删除任何记录（ ） ，
2026-03-30 11:19:22 +08:00
* **接口防刷与限流 (Rate Limiting)**：
* 对于发送短信验证码、注册、登录等极易被黑客利用进行暴力破解或“薅羊毛”的接口，必须在网关层或应用层配置**频次限制**（如同一 IP 每分钟最多 5 次，同一手机号每天最多 10 次）。
* **失败提示模糊化**：
* 登录失败时，无论是因为“账号不存在”还是“密码错误”，**统一定义返回**：“账号或密码错误”。禁止明确告知攻击者账号是否存在，防止黑客进行“撞库”和账号枚举。
## 🤖 [附加] AI 助手执行协议 (AI Output Schema)
**绝对红线**：提供安全漏洞与架构越权的排查 Checklist。规定 AI 必须逐项回复检查结果（ ） ，
