Web安全开发指南

Name: Web安全开发指南
ISBN: 9787115454089

约翰·保罗·米勒人民邮电出版社2017年

2.5

字数: 23.9万字
章节数: 25
丛书: 图灵程序设计丛书
ISBN: 9787115454089

信息有误查询本书

内容简介

《Web安全开发指南》是一本面向Web开发相关从业者的安全实践读物，由美国技术作家约翰·保罗·米勒（John Paul Mueller）撰写，温正东翻译，2017年由人民邮电出版社作为“图灵程序设计丛书”之一引进出版。全书分为5大部分、共17章，围绕“从源头消除安全隐患”这一主线展开：第一部分讲如何制订安全计划，包括定义应用环境、明确Web应用威胁、理解软件安全保障（SSA）、对数据和资源分类，并评估HTML、CSS、JavaScript与第三方代码带来的风险；第二部分讲成功的编码实践，涵盖界面开发与输入校验、可靠代码与团队协议、安全地引入库、谨慎使用API与微服务；第三部分讲测试策略，从“像黑客一样思考”出发，介绍构建测试环境、常见漏洞（SQL注入、跨站脚本、拒绝服务等）、BYOD环境测试与第三方渗透测试；第四部分讲维护周期，涉及升级与更新的界定、语言套件的更新以及报告机制；第五部分讲安全资源，指导读者跟踪最新威胁与组织安全培训。本书不追求穷举所有威胁类型，而是侧重提供可独立解决问题的原则与工具，并且不限定平台，讨论范围涵盖从智能手机到老旧台式机的各类设备。书中包含基于HTML5、CSS3与JavaScript的安全编程示例，适合希望把安全能力嵌入日常开发流程的前端工程师、设计师、测试人员与产品经理阅读。

编辑推荐

市面上讲Web安全的书，大多从“攻击手法”入手，读完让人草木皆兵，却不知道从何改起。这本书的思路刚好相反：它把安全当作一项可以通过流程管理的工程事项，从计划、编码、测试、维护到资源获取，串起一条完整的安全开发生命周期。最值得一提的是它对“第三方”的处理。如今的Web应用几乎不可能手写全部功能，库、API、微服务层层嵌套，风险也随之从自己的代码转移到别人的代码里。书中用专门章节拆解库与框架的区别、API与库的区别、微服务的通信与传输层安全，并结合MailPoet、Heartbleed、Shellshock等真实事件说明风险是如何发生的——这类具体案例让抽象的安全原则变得可感知。内容不绑定某一具体技术栈，示例基于HTML5、CSS3与JavaScript，任何平台的开发者都能对号入座。虽然原版成书较早，部分工具与产品信息已随时间变化，但“如何在团队里建立安全习惯”的思路并不过时。适合作为团队共读材料，逐章对照自己的开发流程做一次体检。

适合谁读

适合

负责前端或全栈开发、希望把安全纳入日常编码流程的工程师。
需要与开发团队协作、理解安全风险边界的测试与运维人员。
对第三方库、API、微服务安全性缺乏判断力的技术负责人。
想系统了解Web安全工程化实践的计算机专业高年级学生。

不适合

想找渗透测试实操步骤、命令与漏洞利用代码的读者，本书偏管理流程而非攻防手册。
追求某一框架（如Spring Security、Django）具体配置细节的开发者。
寻找最新2024年后安全工具与漏洞清单的读者，原书信息已有时效局限。

阅读建议

先读第1章与第9章，建立“威胁—计划—测试”的整体框架，再回填中间章节的细节。
读完每一部分后，对照自己项目的代码库与发布流程列一份差距清单，比通读一遍更有收获。
书中的案例与产品信息多为成书时的状态，涉及具体工具时请另行查阅最新资料。
适合作为团队读书会材料，按5大部分分五次讨论，每次聚焦一个流程环节。

出版社简介

人民邮电出版社中国 · 成立于 1953 年

人民邮电出版社以科技、计算机与信息通信类图书见长，并由此延伸至摄影、艺术、软件学习与励志成长等门类，形成较为多元的出版方向。库内图书既涵盖《重构与模式（修订版）》《华为交换机学习指南（第二版）》等计算机与通信技术读物，也收录《小王子（中英法彩绘典藏纪念版）》《了不起的盖茨比》《假如给我三天光明》等双语典藏类作品；《北京十年：1980-1990》与《鬼刀 WLOP个人插画作品集》则体现其在摄影与艺术领域的布局。作者资源包括安东尼·圣埃克苏佩里、海伦·凯勒、Joshua Kerievsky、王达、张兆增与WLOP等。