当前位置：首页 > news >正文

系统设计模块之安全架构设计（常见攻击防御（SQL注入、XSS、CSRF、DDoS））

news 来源：原创 2025/9/10 5:53:01

一、SQL注入攻击防御

SQL注入是通过恶意输入篡改数据库查询逻辑的攻击方式，可能导致数据泄露或数据库破坏。防御核心在于隔离用户输入与SQL代码，具体措施包括：

参数化查询（预编译语句）
- 原理：将SQL语句与用户输入参数分离，数据库将输入视为数据而非代码执行。
- 实现示例（C#）：
```
using (var cmd = new SqlCommand("SELECT * FROM Users WHERE ID = @id", conn)) {cmd.Parameters.Add("@id", SqlDbType.Int).Value = inputId;cmd.ExecuteNonQuery();
}
```
- 优点：完全防止注入，支持类型检查与长度验证。
输入验证与过滤
- 白名单验证：仅接受预期格式（如数字、特定字符范围）。
- 黑名单过滤：移除特殊字符（如'、;、--）和敏感关键词（如DROP）。
- 转义处理：对特殊字符（如单引号）进行转义，但需注意不同数据库的转义规则。
最小权限原则
- 为数据库用户分配仅执行必要操作的权限（如禁止DROP或ALTER），限制攻击者破坏范围。
使用ORM框架
- ORM（如Hibernate、Entity Framework）自动处理SQL生成，减少手动拼接风险。
Web应用防火墙（WAF）
- 部署WAF拦截恶意请求（如包含DROP的输入），提供额外防护层。

二、XSS（跨站脚本攻击）防御

XSS通过注入恶意脚本窃取用户信息或劫持会话，防御需阻断非法脚本执行：

输入过滤与白名单
- 对用户输入的HTML、JavaScript内容进行严格过滤，仅允许安全标签（如、）和属性。
输出编码
- 根据输出上下文（HTML、JavaScript、URL）对动态内容进行编码：
  - HTML编码：< → <，> → >。
  - JavaScript编码：使用encodeURIComponent()或库（如OWASP Java Encoder）。
CSP（内容安全策略）
- 通过HTTP头限制脚本来源，禁止内联脚本和外部域名加载：
```
Content-Security-Policy: default-src 'self'; script-src 'unsafe-inline' 'unsafe-eval'
```。
```
Cookie安全属性
- 设置HttpOnly（禁止JavaScript访问）和Secure（仅HTTPS传输）属性，防止CSRF和XSS窃取Cookie。

三、CSRF（跨站请求伪造）防御

CSRF通过诱导用户提交恶意请求篡改数据，防御需验证请求合法性：

CSRF Token
- 为每个表单生成唯一Token，服务端验证请求Token与会话Token一致性：
```
```。
```
SameSite Cookie属性
- 设置Cookie的SameSite=Strict或Lax，阻止跨站请求携带Cookie：
```
Set-Cookie: session_id=xxx; SameSite=Lax
```。
```
Referrer检查
- 验证HTTP请求的Referer头是否来自可信域名。

四、DDoS（分布式拒绝服务）防御

DDoS通过海量请求耗尽资源，需结合流量清洗与架构优化：

流量清洗服务
- 使用云服务商（如AWS Shield、Cloudflare）的清洗中心过滤恶意流量。
限流与熔断
- 通过API网关（如Nginx、Kong）限制单IP请求频率，或使用熔断机制（如Hystrix）隔离故障服务。
负载均衡与分布式架构
- 部署多可用区集群，结合DNS轮询或加权负载均衡分散流量。
CDN加速与缓存
- 利用CDN缓存静态资源，减少源站压力。

五、总结与选型建议

攻击类型	核心防御措施	适用场景
SQL注入	参数化查询、输入验证、WAF	数据库交互频繁的Web应用
XSS	输出编码、CSP、Cookie安全属性	用户输入动态内容的页面
CSRF	CSRF Token、SameSite Cookie	需要用户提交敏感操作的表单
DDoS	流量清洗、限流、分布式架构	高流量、高可用性要求的系统

关键实践：

安全开发流程：将安全审查（如SAST/DAST）融入CI/CD管道。
日志与监控：记录异常请求，结合IDS/IPS实时告警。
定期演练：模拟攻击（如渗透测试），验证防御有效性。
通过多层防御（如参数化查询+WAF+输入验证）和纵深防御策略，可显著降低攻击风险。

系统设计模块之安全架构设计（常见攻击防御（SQL注入、XSS、CSRF、DDoS））

一、SQL注入攻击防御 SQL注入是通过恶意输入篡改数据库查询逻辑的攻击方式，可能导致数据泄露或数据库破坏。防御核心在于隔离用户输入与SQL代码，具体措施包括： 参数化查询（预编译语句） 原理：将SQL语句与用…...

编程日记 2025/9/10 5:53:01

redission锁释放失败处理

redission锁释放失败处理 https://www.jianshu.com/p/055ae798547a 就是可以删除锁的key 这样锁就释放了，但是还是要结合业务，这种是非正规的处理方式，还是要在代码层面进行处理。...

编程日记 2025/9/10 5:50:12

Visual Studio Code 在.S汇编文件中添加调试断点及功能简介

目录一、VS Code汇编文件添加断点二、VS Code断点调试功能简介1. 设置断点(1) 单行断点(2) 条件断点(3) 日志断点 2. 查看断点列表3. 调试时的断点控制4. 禁用/启用断点5. 删除断点6. 条件断点的使用7. 多线程调试8. 远程调试9. 调试配置文件一、VS Code汇编文件添加断点最…...

编程日记 2025/9/2 21:30:10

计算视觉与数学结构及AI拓展

在快速发展的计算视觉领域，算法、图像处理、神经网络和数学结构的交叉融合，在提升我们对视觉感知和分析的理解与能力方面发挥着关键作用。本文探讨了支撑计算视觉的基本概念和框架，强调了数学结构在开发鲁棒的算法和模型中的重要性。 AI拓展…...

编程日记 2025/9/10 5:48:18

Vue2 老项目升级 Vue3 深度解析教程

Vue2 老项目升级 Vue3 深度解析教程摘要 Vue3 带来了诸多改进和新特性，如性能提升、组合式 API、更好的 TypeScript 支持等，将 Vue2 老项目升级到 Vue3 可以让项目获得这些优势。本文将深入解析升级过程，涵盖升级前的准备工作、具体升级步骤…...

编程日记 2025/9/9 12:33:03

器件封装-2025.4.13

1.器件网格设置要与原理图一致，同时器件符号要与数据手册一致 2.或者通过向导进行编辑，同时电机高级符号向导进行修改符号名称 2.封装一般尺寸大小要比数据手册大2倍到1.5倍焊盘是在顶层绘制，每个焊盘距离要用智能尺子测量是否跟数据手册一…...

编程日记 2025/9/10 5:50:12

Python 基础语法汇总

Python 语法 │ ├── 基本结构 │ ├── 语句（Statements） │ │ ├── 表达式语句（如赋值、算术运算） │ │ ├── 控制流语句（if, for, while） │ │ ├── 定义语句（def…...

编程日记 2025/9/10 5:46:23

Java函数式编程魔法：Stream API的10种妙用

在Java 8中引入的Stream API为函数式编程提供了一种全新的方式。它允许我们以声明式的方式处理数据集合，使代码更加简洁、易读且易于维护。本文将介绍Stream API的10种妙用，帮助你更好地理解和应用这一强大的工具。 1. 过滤操作：筛选符合条件…...

编程日记 2025/9/1 16:48:24

【力扣hot100题】（094）编辑距离

记得最初做这题完全没思路，这次凭印象随便写了一版居然对了。感觉这题真的有点为出题而出题的意思，谁拿到这题会往动态规划方向想啊jpg 也算是总结出规律了，凡是遇到这种比较俩字符串的十有八九是动态规划，而且是二维动态规划&…...

编程日记 2025/9/10 5:53:00

穿透三层内网VPC2

网络拓扑目标出网web地址：192.168.139.4 信息收集端口扫描： 打开8080端口是一个tomcat的服务版本是Apache Tomcat/7.0.92 很熟悉了，可能存在弱口令 tomcat/tomcat 成功登录用哥斯拉生成马子，上传war包，进入后台 C…...

编程日记 2025/9/10 5:51:16

AI数字消费第一股，重构商业版图的新物种

伍易德带领团队发布“天天送AI数字商业引擎”，重新定义流量与消费的关系【2025年4月，深圳】在人工智能浪潮席卷全球之际，深圳天天送网络科技有限公司于深圳大中华喜来登酒店重磅召开“AI数字消费第一股”发布盛典。公司创始人伍易德首次系统…...

编程日记 2025/9/10 1:25:34

Unity 基于navMesh的怪物追踪惯性系统

今天做项目适合策划想要实现一个在现有的怪物追踪系统上实现怪物拥有惯性功能以下是解决方案分享： 怪物基类代码： using UnityEngine; using UnityEngine.AI;[RequireComponent(typeof(NavMeshAgent))] [RequireComponent(typeof(AudioSource))] …...

编程日记 2025/9/7 6:16:43

【OpenCV】【XTerminal】talk程序运用和linux进程之间通信程序编写，opencv图像库编程联系

目录一、talk程序的运用&Linux进程间通信程序的编写 1.1使用talk程序和其他用户交流 1.2用c语言写一个linux进程之间通信（聊天）的简单程序 1.服务器端程序socket_server.c编写 2.客户端程序socket_client.c编写 3.程序编译与使用二、编写一个…...

编程日记 2025/9/8 12:12:09

中断的硬件框架

今天呢，我们来讲讲中断的硬件框架，这里会去举3个开发板，去了解中断的硬件框架： 中断路径上的3个部件： 中断源中断源多种多样，比如GPIO、定时器、UART、DMA等等。它们都有自己的寄存器，可以…...

编程日记 2025/9/10 5:46:22

大数据面试问答-Hadoop/Hive/HDFS/Yarn

1. Hadoop 1.1 MapReduce 1.1.1 Hive语句转MapReduce过程可分为 SQL解析阶段、语义分析阶段、逻辑计划生成阶段、逻辑优化阶段、物理计划生成阶段。 SQL解析阶段词法分析(Lexical Analysis)：使用Antlr3将SQL字符串拆分为有意义的token序列语法分析(Syntax An…...

编程日记 2025/8/31 13:51:14

【小沐学GIS】基于C++绘制三维数字地球Earth（QT5、OpenGL、GIS、卫星）第五期

🍺三维数字地球系列相关文章如下🍺：1【小沐学GIS】基于C绘制三维数字地球Earth（OpenGL、glfw、glut）第一期2【小沐学GIS】基于C绘制三维数字地球Earth（OpenGL、glfw、glut）第二期3【小沐学GIS】…...

编程日记 2025/9/9 7:14:22

初始图形学(3)

昨天休息了一天，今天继续图形学的学习向场景发射光线现在我们我们准备做一个光线追踪器。其核心在于，光线追踪程序通过每个像素发送光线。这意味着对于图像中的每个像素点，程序都会计算一天从观察者出发，穿过该像素的光线。并…...

编程日记 2025/9/10 0:18:56

如果想在 bean 创建出来之前和销毁之前做一些自定义操作可以怎么来实现呢？

使用生命周期扩展接口（最灵活） 创建前拦截可以通过实现 InstantiationAwareBeanPostProcessor 接口的 postProcessBeforeInstantiation 方法，在Bean实例化前执行逻辑在销毁前拦截可以通过实现 DestructionAwareBean 接口的 postProcessBe…...

编程日记 2025/9/10 5:50:11

【甲子光年】DeepSeek开启AI算法变革元年

目录引言人工智能的发展拐点算力拐点：DeepSeek的突破数据拐点：低参数量模型的兴起算法创新循环算法变革推动AI普惠应用全球AI科技竞争进入G2时代结论引言 2025年，人工智能的发展已经走到了一个战略拐点。随着技术能力的不断提升&#xff0…...

编程日记 2025/9/5 19:31:29

Go语言--语法基础4--基本数据类型--整数类型

整型是所有编程语言里最基础的数据类型。 Go 语言支持如下所示的这些整型类型。需要注意的是， int 和 int32 在 Go 语言里被认为是两种不同的类型，编译器也不会帮你自动做类型转换， 比如以下的例子会有编译错误： var value2 in…...

编程日记 2025/9/7 12:45:17

MCP基础学习计划详细总结

MCP基础学习计划详细总结 1.MCP概述与基础 • MCP（Model Context Protocol）：由Anthropic公司于2024年11月推出，旨在实现大型语言模型（LLM）与外部数据源和工具的无缝集成。 • 核心功能： • 资…...

编程日记 2025/9/10 5:51:17

大模型到底是怎么产生的？一文揭秘大模型诞生全过程

前言大模型到底是怎么产生的呢？本文将从最基础的概念开始，逐步深入，用通俗易懂的语言为大家揭开大模型的神秘面纱。大家好，我是大 F，深耕AI算法十余年，互联网大厂核心技术岗。知行合一，不写水文，喜欢可关注，分享AI算法干货、技术心得。【专栏介绍】：欢迎关注《…...

编程日记 2025/9/9 22:31:48

Node.js介绍

一、Node.js 核心定义本质：基于 Chrome V8 引擎构建的 JavaScript 运行时环境，用于在服务器端执行 JavaScript 代码。定位：非阻塞、事件驱动的 I/O 模型，专为高并发、实时应用设计。诞生：2009 年由 Ryan Dahl 发布…...

编程日记 2025/9/10 5:50:11

DRABP_NSGA2最新算法神圣宗教算法优化BP做代理模型，NSGA2反求最优因变量和对应的最佳自变量组合，Matlab代码

一、神圣宗教算法（DRA）优化BP代理模型 1. DRA的核心原理 DRA是一种模拟宗教社会层级互动的元启发式算法，通过“追随者学习”、“传教士传播”和“领导者引导”三种行为模式优化搜索过程。在BP神经网络优化中，DRA通过以下步骤调整…...

编程日记 2025/9/6 21:27:59

Android Studio 在 Windows 上的完整安装与使用指南

Android Studio 在 Windows 上的完整安装与使用指南—目录一、Android Studio 简介二、下载与安装1. 下载 Android Studio2. 安装前的依赖准备3. 安装步骤三、基础使用指南1. 首次启动配置2. 创建第一个项目3. 运行应用4. 核心功能四、进阶功能配置1. 配置 SDK 和工具2. 自定…...

编程日记 2025/9/10 5:53:00

Matlab学习笔记五十：循环语句和条件语句的用法

1.说明循环语句：for…end，while…end 条件语句：if…end，switch…case…end 其中if语句语法还可以是：for…else…end，for…elseif…else…end 2.简单for程序实例 for x1:5 %循环遍历1~5 yx5 end [1…...

编程日记 2025/9/8 1:27:59

大漠流光：科技牧歌的未来-内蒙古鄂尔多斯

故事背景故事发生在中国内蒙古鄂尔多斯，这里是蒙古族文化的摇篮，也是科技与自然交织的未来舞台。在这片广袤的土地上，蒙古族少女、老牧人和工程师们共同谱写着一曲科技与传统共生的赞歌。未来的鄂尔多斯，不再是单一的沙漠或草原…...

编程日记 2025/9/10 5:48:19

MySQL与Oracle深度对比：数据类型与SQL差异一、数据类型差异 1. 数值类型对比数据类型MySQLOracle整数TINYINT, SMALLINT, MEDIUMINT, INT, BIGINTNUMBER(精度) 或直接INT(内部仍为NUMBER)小数DECIMAL(p,s), FLOAT, DOUBLENUMBER(p,s), FLOAT, BINARY_FLOAT, BI…...

编程日记 2025/9/10 5:48:20

GESP2023年12月认证C++七级( 第一部分选择题（6-10））

选择题第八题： #include <iostream> #include <cstring> #include <algorithm> using namespace std;const int MAXN 1005; // 假设字符串长度不超过1000 char s1[MAXN], s2[MAXN]; int dp[MAXN]; // 一维DP数组int main() {while (cin >>…...

编程日记 2025/9/9 6:03:15

腾势品牌欧洲市场冲锋，科技豪华席卷米兰

在时尚与艺术的交汇点，米兰设计周的舞台上，一场汽车界的超级风暴正在酝酿，腾势品牌如一头勇猛无畏的雄狮，以雷霆万钧之势正式向欧洲市场发起了冲锋。其最新力作——腾势Z9GT的登场，仿佛是一道闪电划破夜空，…...

编程日记 2025/9/10 4:48:55

双指针、滑动窗口

一、双指针双指针是指在算法中使用两个指针（通常是索引或迭代器）来解决问题，通过移动这两个指针来扫描数据结构（如数组或链表），从而达到高效的目的。双指针的核心思想是利用两个指针的相对位置或移动方式…...

编程日记 2025/9/8 21:56:19

《数据密集型应用系统设计》读书笔记：第二章

我们继续拆解第2章：数据模型与查询语言。这章讲的是如何组织数据、如何访问数据，也是你选择数据库种类的根本依据。第2章：数据模型与查询语言一、为何数据模型重要？ Martin 开篇就强调，数据模型影响： …...

编程日记 2025/9/8 6:25:42

ubuntu24.04LTS安装向日葵解决方案

去向日葵官方下载ubuntu使用的deb包向日葵输入如下命令安装，将具体版本修改成自己下载的版本 andrew in ~/下载 λ sudo dpkg -i SunloginClient_15.2.0.63064_amd64.deb 正在选中未选择的软件包 sunloginclient。 (正在读取数据库 ... 系统当前共安装有 290947…...

编程日记 2025/9/8 7:21:37

Python基础语法1

目录 1、认识Python 1.1、计算机 1.2、编程 1.3、编程语言的类别 1.4、Python背景 1.5、Python的应用场景 1.6、Python的优缺点 1.7、Python前景 1.8、Python 环境 2、常量和表达式 3、变量和类型 3.1、定义变量 3.2、使用变量 3.3、变量的类型 3.3.1、整形 3.3…...

编程日记 2025/9/9 0:26:50

深度学习中多机训练概念下的DP与DDP

在进行单机多卡/多机多卡训练时，通常会遇到DP与DDP的概念，为此基于kimi大模型对二者的差异进行梳理。使用DP/DPP的核心是数据并行，也就是根据显卡数量对数据集进行分治，每一个显卡都有一个独立完整的模型和一个局部数据。在多个显…...

编程日记 2025/9/5 14:15:12

设计模式(结构型)-桥接模式

目录摘要定义类图角色具体实现优缺点优点缺点使用场景使用案例 JDBC 和桥接模式总结摘要在软件开发领域，随着系统规模和复杂性的不断攀升，如何设计出具有良好扩展性、灵活性以及可维护性的软件架构成为关键挑战。桥接模式作为一…...

编程日记 2025/9/5 14:14:57

精品推荐 | 湖仓一体电商数据分析平台实践教程合集（视频教程+设计文档+完整项目代码）

精品推荐，湖仓一体电商数据分析平台实践教程合集，包含视频教程、设计文档及完整项目代码等资料，供大家学习。 1、项目背景介绍及项目架构 2、项目使用技术版本及组件搭建 3、项目数据种类与采集 4、实时业务统计指标分析一——ODS分层设计与数…...

编程日记 2025/9/5 14:14:03

【LangChain少样本提示工程实战】FewShotPromptTemplate原理与应用解析——附运行代码

目录引言重点提炼一、FewShotPromptTemplate作用 1. 整合示例与模板，构建结构化提示 2. 引导模型理解任务逻辑 3. 提升少样本场景下的模型性能 4. 支持动态示例选择（扩展功能） 5. 与其他模块…...

编程日记 2025/9/5 14:14:49

基于LSTM的文本分类3——模型训练

前言之前已经完成了模型搭建和文本数据处理，现在做一下模型训练。源码 # -*- coding: UTF-8 -*- import numpy as np import torch import torch.nn as nn import torch.nn.functional as F from sklearn import metrics # 导入评估指标 import time from uti…...

编程日记 2025/9/9 11:15:39

【JS】关于原型/原型链

本文会讲解什么是原型，什么是原型链，以及查找原型的方法，最后会实现一个函数：判断某对象是否有某属性。定义原型：函数都有prototype属性，称作原型/原型对象原型可以放一些方法和属性，共享…...

编程日记 2025/9/5 14:13:53

猫咪如厕检测与分类识别系统系列【五】信息存储数据库改进+添加猫咪页面制作+猫咪躯体匹配算法架构更新

前情提要家里养了三只猫咪，其中一只布偶猫经常出入厕所。但因为平时忙于学业，没法时刻关注牠的行为。我知道猫咪的如厕频率和时长与健康状况密切相关，频繁如厕可能是泌尿问题，停留过久也可能是便秘或不适。为了更科学地了解牠的如…...

编程日记 2025/9/9 23:00:31

k8s的配置文件总结

在 Kubernetes 中，配置文件是定义集群资源的核心，通常以 YAML 或 JSON 格式编写。以下是 Kubernetes 中关键的配置文件类型及其作用： 1. 核心工作负载配置 (1) Deployment • 用途：定义无状态应用的 Pod 副本管理策略&#xff…...

编程日记 2025/9/8 7:54:17

插值算法 - 最近邻插值实现

目录 1. 导入必要的库 2. nearest_neighbor_interpolation 3. 测试代码数学原理完整代码本文实现了基于最近邻插值算法的图像缩放功能。它使用 Python 编写，主要依赖于NumPy和PIL（Python Imaging Library）库。 NumPy用于高效的数值计算，而PIL仅用于图像的加载和…...

编程日记 2025/9/7 22:24:00

QEMU源码全解析 —— 块设备虚拟化（19）

接前一篇文章：QEMU源码全解析 —— 块设备虚拟化（18）本文内容参考：《趣谈Linux操作系统》 —— 刘超，极客时间《QEMU/KVM源码解析与应用》 —— 李强，机械工业出版社《KVM实战 —— 原理、进阶与性能调优》—— 任永杰程舟，机械工业出版社特此致谢！ QEMU启动…...

编程日记 2025/9/5 0:02:54

常见的归一化（Normalization）方法

本文详解深度学习中常见的归一化方法。【归一化是将数据按比例缩放，使之落入一个特定的区间】目录 1. 批量归一化（Batch Normalization，BN）1.1 数学原理1.2 代码示例 2. 层归一化（Layer Normalization，LN&…...

编程日记 2025/9/8 1:27:56

架构师面试（二十九）：TCP Socket 编程

问题今天考察网络编程的基础知识。在基于 TCP 协议的网络【socket 编程】中可能会遇到很多异常，在下面的相关描述中说法正确的有哪几项呢？ A. 在建立连接被拒绝时，有可能是因为网络不通或地址错误或 server 端对应端口未被监听&#x…...

编程日记 2025/9/8 4:52:30

【高性能缓存Redis_中间件】二、redis进阶高级特性及应用

一、前言在第一篇文章中，我们已经对 Redis 消息队列有了基础的认识，掌握了其基本使用方法。然而，在实际的复杂业务场景中，仅仅运用基础功能是远远不够的。本篇文章将深入探讨 Redis 消息队列的高级特性，如消息确认机…...

编程日记 2025/9/8 12:38:28

vs2022 pcl1.15.0注意点

pcl1.15.0的版本变化很大，其中有一个地方需要设置成如下图所示如果不设置生成的时候可能有以下错误： 严重性代码说明项目文件行禁止显示状态详细信息错误 C1189 #error: "Potential runtime error due to…...

编程日记 2025/9/4 19:20:28

React Router路由

例子 // 创建Router实例对象 const router createBrowserRouter([{path:/login,element:<div>我是登录</div>},{path:/article,element:<div>我是文章</div> }])在jsx中配置一个RouterProvider组件绑定 router{router} 常规的组件配置...

编程日记 2025/9/5 14:14:24

深度学习(一)

(Ⅰ)神经网络和深度学习一，ReLU激活函数 ReLU(Rectified Linear Unit)函数，输入大于0时，直接输出该值；输入小于0时，输出0 代码实现： 图中的每个节点都可以是ReLU激活函数的一部分二，循环神经…...

编程日记 2025/9/10 0:24:28

一、SQL注入攻击防御

二、XSS（跨站脚本攻击）防御

三、CSRF（跨站请求伪造）防御

四、DDoS（分布式拒绝服务）防御

五、总结与选型建议

相关文章：