Web安全开发指南

Name: Web安全开发指南
ISBN: 9787115454089

约翰·保罗·米勒人民邮电出版社2017年

2.5

字数: 40.2万字
章节数: 22
丛书: 图灵程序设计丛书
ISBN: 9787115454089

信息有误查询本书

内容简介

本书是 O'Reilly 授权图灵引进出版的 Web 安全实践指南，英文原名为 Security for Web Developers: Using JavaScript, HTML, and CSS。全书分为 5 大部分、共 17 章，面向做出具体开发决策的前端与全栈工程师、设计师和产品经理。第一部分“制订安全计划”先讲清应用环境如何界定，包括如何梳理 Web 应用威胁、理解软件安全保障（SSA）的要求、按数据与资源分类、处理 HTML/CSS/JavaScript 等与语言相关的风险点，以及云存储、库、API、微服务和外部数据引入后应当承担的维护责任。第二部分“运用成功的编码实践”落在界面与代码本身：评估界面可攻击面、用受控输入与客户端/服务端双重校验拦住异常输入、区分可靠性与安全性、建立经验教训反馈机制，并分别讨论库、API、微服务的使用边界。第三部分“创建有用及高效的测试策略”教读者像黑客一样设想攻击路径，构建测试系统，排查库与 API 的漏洞，并借助内部测试与外部安全测试人员补足覆盖。第四部分“实现维护周期”讨论升级节奏、更新选项与安全报告跟踪。第五部分“查找安全资源”讲如何持续跟踪安全威胁并确定团队培训需求。书中不逐一罗列威胁清单，而是给出可复用的原则与做法，示例以 CSS3、HTML5 和 JavaScript 为主，不绑定特定平台，因此对移动端与桌面端同样适用。全书译文约 251 页，内容偏概念与方法论，代码量不大，适合作为团队安全规范讨论的共同底本。

编辑推荐

前端与产品团队最常犯的错误，是把安全当成上线前才想起来的一道检查。这本书的价值在于它把安全提前到了“计划”和“接口设计”阶段：第 1 章先帮你把威胁、数据分级与 SSA 要求对齐，第 4 章再落实到界面上的受控选择与输入校验，思路是连续的。第二个亮点是对“第三方”的正面处理。库、API、微服务、云存储在 2016 年前后正是新风险集中出现的地方，作者专门用第 3、6、7、8、11 章讨论：什么时候该用、怎么用、出了问题谁负责。这种把人、流程和责任写进技术书的方式，比单纯罗列 XSS 与 SQL 注入更能改变工程习惯。需要提醒的是，本书的定位是原则与工具箱，不是渗透测试手册，代码示例也以 CSS3、HTML5、JavaScript 为主，篇幅有限。若你想要的是逐行演示漏洞利用的实操书，它可能不够“解渴”；若你要给团队立一套讨论安全的标准语言，它是很合适的起点。

适合谁读

适合

有一到两年经验、开始独立负责前端或全栈模块的开发者
需要评审安全需求、权衡第三方依赖的产品经理与技术负责人
希望把安全规范写进设计评审与发布流程的团队技术负责人
习惯读方法论而非抄工具命令、想把安全基础打牢的工程师

不适合

希望拿到完整渗透测试步骤与漏洞利用代码的读者
只关心某个具体框架或攻防大赛题目的读者
完全没有 Web 开发基础、需要先补 HTML/JavaScript 的入门读者

阅读建议

按五大部分顺序读；第1-3章建议与团队一起讨论，形成一份自己的安全计划草稿。
读到第4、6、7、8章时，对照手上项目列出正在使用的库、API 和微服务，逐项标注风险与责任人。
第9-12章可配合一次内部安全评审或沙盒演练实践，避免只在纸上理解测试策略。
本书出版于 2017 年，具体工具与框架细节可结合当下的安全公告与 ASVS 等清单补充阅读。

出版社简介

人民邮电出版社中国 · 成立于 1953 年

人民邮电出版社以科技、计算机与信息通信类图书见长，并由此延伸至摄影、艺术、软件学习与励志成长等门类，形成较为多元的出版方向。库内图书既涵盖《重构与模式（修订版）》《华为交换机学习指南（第二版）》等计算机与通信技术读物，也收录《小王子（中英法彩绘典藏纪念版）》《了不起的盖茨比》《假如给我三天光明》等双语典藏类作品；《北京十年：1980-1990》与《鬼刀 WLOP个人插画作品集》则体现其在摄影与艺术领域的布局。作者资源包括安东尼·圣埃克苏佩里、海伦·凯勒、Joshua Kerievsky、王达、张兆增与WLOP等。