基于 Nginx + Spring Boot + Vue + JPA 的网站安全防护指南

引言

在现代互联网时代，确保网站的安全性非常重要。尤其是基于前后端分离架构，更需要特别注意安全防护。接下来，带你了解几种常见的安全攻击及其应对措施。

常见的安全攻击及应对措施

1. 跨站脚本攻击 (XSS)

攻击描述： 跨站脚本攻击，简称 XSS，就是攻击者在网页中注入恶意脚本，然后在用户访问页面时执行这些脚本。这样一来，攻击者就能偷取数据或劫持用户会话。

具体应对措施：

输入验证和清理： 确保所有用户输入都经过验证和清理。比如，使用 DOMPurify 库清理 HTML 输入。
```
import DOMPurify from 'dompurify';
let cleanInput = DOMPurify.sanitize(userInput);
```

内容安全策略 (CSP)： 通过 Nginx 配置 CSP，限制内容的加载来源。

add_header Content-Security-Policy "default-src 'self'; script-src 'self' https://trustedscripts.example.com";

输出编码： 在显示用户输入时，对其进行编码，防止脚本执行。

@GetMapping("/userInput")
public String getUserInput(@RequestParam String input) {
    return HtmlUtils.htmlEscape(input);
}

2. SQL 注入 (SQLi)

攻击描述： SQL 注入攻击是攻击者通过操控输入来执行未授权的 SQL 命令，进而访问或修改数据库中的数据。

具体应对措施：

使用准备语句： 使用参数化查询来防止 SQL 注入。

@Query("SELECT u FROM User u WHERE u.username = :username AND u.password = :password")
User findByUsernameAndPassword(@Param("username") String username, @Param("password") String password);

输入验证： 确保所有用户输入都经过验证和清理。
最小权限原则： 确保数据库用户仅具有执行所需操作的最低权限，避免过多权限。

3. 跨站请求伪造 (CSRF)

攻击描述： CSRF 攻击是攻击者通过伪造用户请求来执行未授权操作，利用用户已认证的身份进行恶意操作。

具体应对措施：

使用 CSRF 令牌： 在表单中加入唯一的 CSRF 令牌，并在服务器端进行验证。

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse());
    }
}

验证请求来源： 确保请求来自合法来源。
使用 SameSite Cookie 属性： 设置 Cookie 的 SameSite 属性为 “Strict” 或 “Lax”。

4. 拒绝服务攻击 (DoS/DDoS)

攻击描述： 拒绝服务攻击旨在通过大量请求耗尽服务器资源，使合法用户无法访问服务。

具体应对措施：

速率限制： 使用 Nginx 配置速率限制，控制每个 IP 的请求频率。

limit_req_zone $binary_remote_addr zone=one:10m rate=1r/s;
server {
    location / {
        limit_req zone=one burst=5;
        proxy_pass http://backend;
    }
}

负载均衡： 部署负载均衡器来分散流量。
自动化防御工具： 使用如 Fail2Ban 的工具自动检测并阻止恶意 IP。

5. 文件上传漏洞

攻击描述： 文件上传漏洞允许攻击者上传恶意文件并在服务器上执行，从而获取未经授权的访问权限。

具体应对措施：

文件类型验证： 只允许上传特定类型的文件，并对文件类型进行严格验证。

@PostMapping("/upload")
public ResponseEntity<String> handleFileUpload(@RequestParam("file") MultipartFile file) {
    if (!file.getContentType().equals("image/png")) {
        return ResponseEntity.status(HttpStatus.UNSUPPORTED_MEDIA_TYPE).body("Only PNG files are allowed");
    }
    // 保存文件代码
}

存储位置： 将上传的文件存储在非公开目录中，避免直接访问。

文件名清理： 对上传的文件名进行清理，防止路径穿越攻击。

String filename = Paths.get(file.getOriginalFilename()).getFileName().toString();

操作系统安全防护建议

1. 定期更新和补丁管理

具体应对措施：

定期更新操作系统和应用程序，确保安装最新的安全补丁。
使用自动更新功能，确保及时应用安全补丁。

2. 强化系统配置

具体应对措施：

禁用不必要的服务和端口，减少攻击面。

配置防火墙，限制未授权的访问。

# 使用 firewalld 设置基本防火墙规则
sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload

3. 系统日志和监控

具体应对措施：

启用并定期检查系统日志，检测可疑活动。
使用监控工具（如 Prometheus 和 Grafana）实时监控系统状态。

数据库安全防护建议

1. 数据库访问控制

具体应对措施：

使用强密码和多因素认证保护数据库访问。

定义并执行严格的访问控制策略，确保只有授权用户才能访问数据库。

CREATE USER 'appuser'@'localhost' IDENTIFIED BY 'strongpassword';
GRANT SELECT, INSERT, UPDATE, DELETE ON mydatabase.* TO 'appuser'@'localhost';

2. 数据库加密

具体应对措施：

对敏感数据进行加密存储，确保即使数据被盗也无法读取。
使用传输层加密（如 TLS/SSL）保护数据库连接。

3. 数据库备份和恢复

具体应对措施：

定期备份数据库，确保数据在发生故障或攻击后可恢复。

定期测试备份和恢复过程，确保其有效性。

# 使用 pg_dump 备份 PostgreSQL 数据库
pg_dump -U postgres -F c mydatabase > mydatabase_backup.dump
# 恢复数据库
pg_restore -U postgres -d mydatabase mydatabase_backup.dump