錯誤未指定書簽。!identifier>版本號第1冊共1冊月<17錯誤未指定書簽。!identifier><27錯誤未指定書簽。!identifier>目錄314本文檔的目的.......................................................................44假設和約束.........................................................................4本文檔概述.........................................................................4名詞解釋...........................................................................41.5.1術語.........................................................................41.5.2簡寫.........................................................................4244會話管理...........................................................................5密碼算法...........................................................................5日志安全...........................................................................5系統通信安全.......................................................................5系統密碼安全.......................................................................66系統資源釋放.......................................................................6366防范跨站請求偽造防范SQL注入攻擊66錯誤!未定義書簽。64已發生的安全事故案例的相關安全考慮點......................................................6577容災設計...........................................................................767傳輸安全...........................................................................7容錯設計...........................................................................7容災設計...........................................................................7<37錯誤未指定書簽。!identifier>1文檔概述[闡明該需求規格說明書的目的。并概要說明項目的大致情況、功能、作用]等[本小節應完整列出此說明書中所引用的任何文檔。每個文檔應標有標題、報告號（如果適用）、日期和出版單位。列出可從中獲取這些參考資料的來源。這些信息可以通過引用附錄或其他文檔來提供。][本小節應說明該說明書的前提條件和約束條件。[本小節應說明該說明書中其他部分所包含的內容，并解釋此文檔的組織方式]。1.5.1術語[本小節應定義該說明書中用到的術語。]1.5.2簡寫[本小節應定義該說明書中用到的簡寫。]2產品設計安全[][注：此部分涉及系統身份驗證，此部分也是涉及安全問題較多的部分。[注：這里應寫明身份認證過程是否按系統安全要求，對關鍵內容進行加密處理；使用的加密算法是否；[注：這里應寫明諸如用戶登錄頻率、失敗次數閥值、登錄次數限制、登錄失敗的后續處理等情況；<47錯誤未指定書簽。!identifier>登錄過程應考慮，終端到服務器端傳遞過程被非法修改的可能性。寫明對于重要字段是否需要在服務器端進行二次驗證（具體可參考安全事故案例文檔青海系統重置任意賬戶密碼（功能設計問題，提交數據未驗證）的內容[注：此處應寫明，在登錄時如果涉及驗證碼，則驗證碼的細節設定，如，干擾、扭曲、變形、粘連等[注：這里應說明，重要的系統、中間件、數據庫等配置文件應妥善保存，不應暴露于公網目]錄；點，并非所有系統都有相應安全要求，如涉及則根據情況靈活編寫]。[注：寫明會話標識的產生、更新（登錄前后是否更新）、及長度等]；2，會話超時及結束[注：寫明在涉及加密時使用那種安全的加密算法，以及密鑰的管理]；1，具體日志內容應包含；<57錯誤未指定書簽。!identifier>[注：這里主要描述諸如，系統帳號、中間件、數據庫等帳號，應遵循相應的密碼安全規范。例如，帳號密碼的長度、字符范圍、有效期、存儲（是否需要加密存儲）等；具體參見安全設計規范內]容；對文件上傳/下載的限制[注：如果系統涉及文件的上傳，則應描述清楚，如何對上傳文件進行檢驗。例如，如何規定文件大小、后綴名、格式、用戶端是否做校驗、服務器端是否做校驗、文件保存位置等安全點；另外，可參考[注：這里主要是java開發規范的相關內容，寫明例如打開的文件，數據庫連接等，使用完成后是否3代碼質量安全[][注：跨站與SQL注入都是web系統最常見的攻擊方式，這里請描述如何進行的預防（例如公司的安全SQL2.4不安全的直接對象引[注：部分內容同跨站及注入的過濾；但對于相關參數長度應說明，以避免過長的參數輸入引起參數溢[注：此部分主要檢查，項目中是否涉及第三方的開源程序引用，如果有，則需檢查是否包含惡意代。4已發生的安全事故案例的相關安全考慮點<67錯誤未指定書簽。identifier>[注，在涉及到服務器端與用戶進行數據交互時，是否考慮了數據的防篡改。可能涉及的場景如：商城系統的訂單提交、電子商務中物品采購、營業廳系統的業務辦理、系統的身份驗證過程等。參考《炎黃安全事WAP營業廳受理0靚號被低價購買青海系統重置任意賬戶密碼[注，參考《炎黃安全事故案例》-〉聯通手機廳客戶端程序明文保存帳號密碼。考慮新系統是否涉登錄密碼明文傳輸問題。考慮