HTTP 安全
HTTP 安全
HTTP 用于互联网上的通信，因此应用程序开发人员、信息提供商和用户应该了解 HTTP/1.1 中的安全限制。本讨论不包含针对此处提到的问题的明确解决方案，但确实提出了一些降低安全风险的建议。
个人信息泄露
HTTP 客户端通常知道大量个人信息，例如用户的姓名、位置、邮件地址、密码、加密密钥等。因此，作为用户，您需要非常小心，以防止这些信息通过 HTTP 协议无意中泄露给其他来源。
所有机密信息都应以加密形式存储在服务器端。
泄露服务器的特定软件版本可能会使服务器计算机更容易受到已知包含安全漏洞的软件的攻击。</p>
通过网络防火墙充当门户的代理应特别注意传输用于识别防火墙后面主机的标头信息。
在表单字段中发送的信息可能与用户的隐私利益或站点的安全策略。因此，如果用户无法禁用、启用和修改字段的内容，则不应传输该字段。
如果引用页面是通过安全协议传输的，则客户端不应在非安全 HTTP 请求中包含 Referer 标头字段。
使用 HTTP 协议的服务的作者不应使用基于 GET 的表单提交敏感数据，因为这会导致这些数据在 Request-URI 中被编码。
基于文件和路径名的攻击
文档应仅限于 HTTP 请求返回的文档，即服务器管理员想要的文档。
例如，UNIX、Microsoft Windows 和其他操作系统使用 .. 作为路径组件来指示当前目录之上的目录级别。在这样的系统上，如果 HTTP 服务器允许访问 HTTP 服务器无法访问的资源，则必须禁止在请求 URI 中构造任何此类结构。
DNS 欺骗
使用 HTTP 的客户端严重依赖域名服务，因此通常容易受到基于故意错误关联 IP 地址和 DNS 名称的安全攻击。客户端需要谨慎地假设 IP 号码/DNS 名称关联的持续有效性。
如果 HTTP 客户端缓存主机名查找的结果以实现性能改进，则它们必须观察 DNS 报告的 TTL 信息。如果 HTTP 客户端不遵守此规则，则当先前访问的服务器的 IP 地址发生变化时，它们可能会被欺骗。
位置标头和欺骗
如果单个服务器支持彼此不信任的多个组织，则它必须检查在上述组织的控制下生成的响应中的位置和内容位置标头的值，以确保它们不会试图使它们无权使用的资源无效。
身份验证凭据
现有的 HTTP 客户端和用户代理通常会无限期地保留身份验证信息。 HTTP/1.1 不提供服务器指示客户端丢弃这些缓存凭据的方法，这是一个很大的安全风险。
建议在屏幕保护程序、空闲超时和其他方法中使用密码保护，以减轻此问题固有的安全问题。
代理和缓存
HTTP 代理是中间人，为中间人攻击提供了机会。代理可以访问与安全相关的信息、有关个人用户和组织的个人信息以及属于用户和内容提供商的专有信息。
代理运营商应该保护运行代理的系统，就像保护任何包含或传输敏感信息的系统一样。
缓存代理提供了额外的潜在漏洞，因为缓存的内容是恶意利用的诱人目标。因此，缓存内容应作为敏感信息受到保护。
http_protocol_basics.html
