NotionNext BLOG

Go测试-二十条

Thu, 29 Feb 2024 00:00:00 GMT

Golang测试的20条使用建议

让添加新测试代码变得容易

使用测试覆盖率来发现未经测试的代码

覆盖率不能替代思考

编写全面的测试

将测试用例与测试逻辑分开

寻找特殊情况

如果你没有添加测试，那就没有修复bug

并非所有东西都适合放在表中

测试用例可以放在testdate文件中

与其他实现进行比较

使测试失败易读

如果答案可能会改变，编写代码来更新它们

使用txtar进行多文件测试用例

对现有格式进行注解来创建测试迷你语言

编写解析器和打印器来简化测试

代码质量受测试质量限制

使用脚本可以编写很好的测试

尝试使用rsc.io/script来创建基于脚本的测试用例

随着时间的推移改进你的测试

追求持续部署

go性能分析-pprof

Thu, 22 Feb 2024 00:00:00 GMT

前言

作为一名gopher,不知道你是否遇到过以下问题？

CPU突然飙高(甚至死循环,CPU跑满)？

某个功能接口QPS在压测中一直压不上去？

应用出现goroutine泄露？

内存居高不下？

在某处加锁的逻辑中，迟迟得不到锁？

你是否能得心应手的找到问题的症结所在，你又是使用什么方法或工具解决的呢？今天我将介绍下我经常使用的工具pprof.它是golang自带的性能分析大杀器，基本上能快速解决上述问题。

如何使用pprof

使用pprof有三种姿势，一种是使用runtime/pprof/pprof.go另一种是使用net/http/pprof/pprof.go（底层也是使用runtime/pprof）,还有一种是在单元测试中生成profile 数据。详细的方法在对应的pprof.go文件开头有说明。

1. runtime/pprof 方式pprof

这种方式需要你手动启动需要pprof的类型，比如，开启CPU profile 还是heap profile 等等，pprof 会在应用启动到结束的整个生命周期生成profile 文件。其实生成profile 数据是会损耗性能的，生产环境不建议一直开启，可以在需要分析的时候临时采集那个时刻的数据，如通过监听系统信号的方式开启/关闭pprof,示例代码如下：

不过本人还是更加喜欢第二种方式net/http/pprof

2. net/http/pprof 方式pprof

是不是很简单，这种方式只需要开启http服务，并且import _ "net/http/pprof",他会自动把相应的http的handleFunc 注册上去，若你使用的不是DefaultServeMux,需要自己手动注册下。

3. 单元测试中进行profile

分析pprof

在上文如何使用pprof中介绍的三种开启pprof的方式，他们都会生成profile二进制文件，有三种方式可以分析这个二进制文件

姿势一：通过交互命令行,方法：go tool pprof {profile文件}命令交互行如下

若是通过http方式开启pprof，可以

go tool pprof http://localhost:6060/debug/pprof/profile?seconds=30

若是通过方式1和3生成文件,可以

go tool pprof cpu.prof

姿势二：通过web方式查看，方法 go tool pprof -http=:6060 {profile文件}

然后就可以在浏览器中访问 http://localhost:6060/

当然也有一种方式在姿势一中介绍的命令行交互中输入web会生成 .svg文件，不过需要安装graphviz来打开这个文件，不推荐，还是建议使用命令行或本地启动web服务来查看profile 数据.

实战演练

1.定位CPU问题

自己写了一个模拟程序，模拟CPU问题，

按照上述姿势一打开命令行交互，执行top10,输出采样期间CPU使用最高的10个方法

这里简单介绍下flat flat% sum% cum cum%这五个参数的含义,详细可以查看Pprof and golang - how to interpret a results?

flat：指的是该方法所占用的CPU时间（不包含这个方法中调用其他方法所占用的时间）

flat%: 指的是该方法flat时间占全部采样时间的比例

cum：指的是该方法以及方法中调用其他方法所占用的CPU时间总和，这里注意区别于flat

cum%:指的是该方法cum时间占全部采样时间的比例

sum%: 指的是执行到当前方法累积占用的CPU时间总和，也即是前面flat%总和

上图可以看出worker()占用CPU时间较久，我们可以

查看具体代码

当然也可以通过上述姿势二，启动web服务查看火焰图go tool pprof -http=:6061 cpu.profile

打开http://localhost:6061/ui/ 火焰图如下，其中颜色越红代表占用的CPU时间越多

找到了耗时比较久的地方，就能看看正常的业务代码还是可以优化的逻辑，就可以优化后在pprof

2. 定位内存问题

排查内存再用过高问题

其中inuse_space表示查看常驻内存的使用情况

list 查看相应的函数

原来是一致在append内存，并持有到1GB不释放

当然还可以使用alloc_objects：分析应用程序的内存临时分配情况

可以看到应用稳定后，除了上面初始分配1GB外，应用临时内存分配主要在worker中

3.定位goroutine问题

例如goroutine泄露等问题，方法如下

可以打出各个goroutine的调用栈

可以看到有900+ 的goroutine 阻塞在runtime/gopark并且是由main.goroutine.fun1方法引起的 list 查看方法内容list main.goroutine.fun1

可以看出主要是阻塞在channel c 上.当然也可以通过traces runtime.gopark 查看那些方法最终阻塞在gopark上，另外也可以在web页面http://localhost:6060/debug/p...直接查看。

4.定位锁问题

锁的问题可能导致程序运行缓慢，pprof mutex 相关的需要设置采样率

runtime.SetMutexProfileFraction(1),若采样率<0 将不进行采样

可以看出，主要在main.mutex.func1上，可以查看调用链

list main.mutex.func1

可以看出主要阻塞在锁m上

5. 定位goroutine阻塞等待同步问题

区别于4 ，这里主要是记录goroutine阻塞等待同步的位置,而4中主要是互斥锁分析，报告互斥锁的竞争情况。同样需要设置采样率runtime.SetBlockProfileRate(1)

主要阻塞在chanrecv1上，查看源码

可以发现主要阻塞在channel c 上

参考文献

pprof 官方README

Profiling Go Programs

Golang 大杀器之性能剖析 PProf

golang pprof 实战

https://golang2.eddycjy.com/p...

用 Go 语言实现刘谦 2024 春晚魔术，还原尼格买提汗流浃背的尴尬瞬间!

Thu, 22 Feb 2024 00:00:00 GMT

龙年春晚如期而至，想必大家都看（没）完（眼）了（看）吧，今年春晚最搞笑节目，当属刘谦的魔术：《守岁共此时》，不过笑点不是节目本身，而是本场魔术的托儿（主持人）尼格买提。

小尼：已经开始流汗了 😅。

本文将带大家一起用 Go 语言来还原下整个魔术的过程。

在开始写代码前，翻车画面必须置顶 🤣：

魔术：《守岁共此时》

这是一个公式魔术，即有着固定的套路，从数学角度来看是一个「约瑟夫问题」（严格证明可以在网上搜到，如果你感兴趣可以去看下）。

不过，咱们今天不讲枯燥的数学公式，固定套路是程序的强项，今天就用 Go 语言实现这个魔术的套路。

接下来，咱们直奔主题，回忆每一个步骤的同时，用程序将其实现。

步骤

一、准备 4 张扑克牌，随意打乱，完成洗牌。

步骤一

代码实现如下：

我们以截图中刘谦手里持有的 4 张扑克牌为例，用一个 int 类型的 slice 存储这些牌。

在 Go 中可以使用 rand.Shuffle 方法来打乱 slice 的顺序。

执行程序，得到洗牌后的结果如下：

[6 7 5 2]

二、对折，然后撕开，接着叠在一起，相当于扑克牌变成了两份，double 了，4 张变 8 张。

步骤二

这一步相当于 pokers 内容 * 2，代码实现如下：

复制后的 pokers 如下：

[6 7 5 2 6 7 5 2]

三、问问自己名字有几个字，就从最上面拿出对应个数的牌放到底部。

步骤三

例如「刘谦」名字有 2 个字，即将 slice 前 2 个元素取出，并放到 slice 最后，代码实现如下：

得到新 pokers：

[5 2 6 7 5 2 6 7]

四、拿起最上面的 3 张牌，插入中间任意位置。

步骤四

代码实现如下：

这里将 pokers 前 3 个元素取出，并插入最后一个元素之前，得到新 pokers：

[7 5 2 6 5 2 6 7]

五、拿出最上面的 1 张牌，藏于秘密的地方，比如屁股下。

步骤五

代码实现如下：

这里使用 top 变量暂存最上面的 1 张牌：

7, [5 2 6 5 2 6 7]

此时得到 top 值为 7，pokers 还剩 7 个元素。

六、如果你是南方人，从上面拿起 1 张牌；如果你是北方人，则从上面拿起 2 张牌；假如我们不确定自己是南方人还是北方人，那就干脆拿起 3 张牌，然后插入中间任意位置。

步骤六

这一步其实同第四步操作一样，假设我们是北方人，代码实现如下：

得到新 pokers：

[6 5 2 6 5 2 7]

七、如果你是男生，从上面拿起 1 张牌；如果你是女生，则从上面拿起 2 张牌，撒到空中（扔掉）。

步骤七

假设是男生，代码实现如下：

得到新 pokers：

[5 2 6 5 2 7]

八、魔法时刻，在遥远的魔术的历史上，流传了一个七字真言「见证奇迹的时刻」，可以带给我们幸福。现在，我们每念一个字，从上面拿一张放到最底部，即需要完成 7 次同样的操作。

步骤八

我们可以用 for loop 来完成重复操作，代码实现如下：

得到新 pokers：

[2 6 5 2 7 5]

九、最后一个环节，叫「好运留下来，烦恼丢出去」，在念到「好运留下来」时，从上面拿起 1 张牌放入底部；在念到「烦恼丢出去」时，从上面拿起 1 张牌扔掉，女生需要完成 4 次同样的操作，男生需要完成 5 次同样的操作。

步骤九 - 好运留下来

步骤九 - 烦恼丢出去

因为第七步中我们选择了男生，所以现在要完成 5 次同样的操作，同样适用 for loop 来完成，代码实现如下：

最终得到的 pokers：

[7]

切片 pokers 中仅存一个元素，即手中只剩一张牌。

见证奇迹

接下来就是见证奇迹的时刻，拿出藏于屁股下的牌和手里唯一剩下的一张牌对比，正是同一张牌：

见证奇迹

打印 top 值和 pokers 中仅存的元素。

结果毫无悬念：

见证奇迹：7 == 7

程序完整日志输出如下：

还原「尼格买提」神操作

在此必须回顾一下尼格买提尴尬瞬间，反复尴尬 🤣：

仔细观看回放就能发现，其实小尼错在了第六步，小尼是北方人，所以应该从上面拿起 2 张牌，插入中间任意位置，但由于操作失误，错将拿起的第 2 张牌插入到最底部。

神操作在此：

即第六步代码原本应该如下：

到小尼这里变成了：

读者可以自行修改代码后尝试运行下，我就不展示结果了，怕尴尬 😅，哈哈哈。

彩蛋

不知道大家有没有注意到，在魔术表演结束时，观众席镜头左下角那个手里拿着 AJ 的姐姐！

观众席

放大特写：

AJ 姐姐满脸洋溢着尴尬的笑容 🤣。

总结

没有总结。

本文仅供大家消遣娱乐，顺便学点编程 😄。

本文完整代码示例我放在了 GitHub 上，欢迎点击查看。

转载自：https://jianghushinian.cn/2024/02/10/use-go-to-realize-liu-qian-s-2024-spring-festival-gala-magic/

Go安全指南

Thu, 22 Feb 2024 00:00:00 GMT

通用类

1. 代码实现类

1.1 内存管理

1.1.1【必须】切片长度校验

在对slice进行操作时，必须判断长度是否合法，防止程序panic

1.1.2【必须】nil指针判断

进行指针操作时，必须判断该指针是否为nil，防止程序panic，尤其在进行结构体Unmarshal时

1.1.3【必须】整数安全

在进行数字运算操作时，需要做好长度限制，防止外部输入运算导致异常：

确保无符号整数运算时不会反转
确保有符号整数运算时不会出现溢出
确保整型转换时不会出现截断错误
确保整型转换时不会出现符号错误

以下场景必须严格进行长度限制：

作为数组索引
作为对象的长度或者大小
作为数组的边界（如作为循环计数器）

1.1.4【必须】make分配长度验证

在进行make分配内存时，需要对外部可控的长度进行校验，防止程序panic。

1.1.5【必须】禁止SetFinalizer和指针循环引用同时使用

当一个对象从被GC选中到移除内存之前，runtime.SetFinalizer()都不会执行，即使程序正常结束或者发生错误。由指针构成的“循环引用”虽然能被GC正确处理，但由于无法确定Finalizer依赖顺序，从而无法调用runtime.SetFinalizer()，导致目标对象无法变成可达状态，从而造成内存无法被回收。

1.1.6【必须】禁止重复释放channel

重复释放一般存在于异常流程判断中，如果恶意攻击者构造出异常条件使程序重复释放channel，则会触发运行时panic，从而造成DoS攻击。

1.1.7【必须】确保每个协程都能退出

启动一个协程就会做一个入栈操作，在系统不退出的情况下，协程也没有设置退出条件，则相当于协程失去了控制，它占用的资源无法回收，可能会导致内存泄露。

1.1.8【推荐】不使用unsafe包

由于unsafe包绕过了 Golang 的内存安全原则，一般来说使用该库是不安全的，可导致内存破坏，尽量避免使用该包。若必须要使用unsafe操作指针，必须做好安全校验。

1.1.9【推荐】不使用slice作为函数入参

slice在作为函数入参时，函数内对slice的修改可能会影响原始数据

1.2 文件操作

1.2.1【必须】路径穿越检查

在进行文件操作时，如果对外部传入的文件名未做限制，可能导致任意文件读取或者任意文件写入，严重可能导致代码执行。

1.2.2【必须】文件访问权限

根据创建文件的敏感性设置不同级别的访问权限，以防止敏感数据被任意权限用户读取。例如，设置文件权限为：rw-r-----

1.3 系统接口

1.3.1【必须】命令执行检查

使用exec.Command、exec.CommandContext、syscall.StartProcess、os.StartProcess等函数时，第一个参数（path）直接取外部输入值时，应使用白名单限定可执行的命令范围，不允许传入bash、cmd、sh等命令；

使用exec.Command、exec.CommandContext等函数时，通过bash、cmd、sh等创建shell，-c后的参数（arg）拼接外部输入，应过滤\n $ & ; | ' " ( ) `等潜在恶意字符；

1.4 通信安全

1.4.1【必须】网络通信采用TLS方式

明文传输的通信协议目前已被验证存在较大安全风险，被中间人劫持后可能导致许多安全风险，因此必须采用至少TLS的安全通信方式保证通信安全，例如gRPC/Websocket都使用TLS1.3。

1.4.2【推荐】TLS启用证书验证

TLS证书应当是有效的、未过期的，且配置正确的域名，生产环境的服务端应启用证书验证。

1.5 敏感数据保护

1.5.1【必须】敏感信息访问

禁止将敏感信息硬编码在程序中，既可能会将敏感信息暴露给攻击者，也会增加代码管理和维护的难度

使用配置中心系统统一托管密钥等敏感信息

1.5.2【必须】敏感数据输出

只输出必要的最小数据集，避免多余字段暴露引起敏感信息泄露

不能在日志保存密码（包括明文密码和密文密码）、密钥和其它敏感信息

对于必须输出的敏感信息，必须进行合理脱敏展示

避免通过GET方法、代码注释、自动填充、缓存等方式泄露敏感信息

1.5.3【必须】敏感数据存储

敏感数据应使用SHA2、RSA等算法进行加密存储

敏感数据应使用独立的存储层，并在访问层开启访问控制

包含敏感信息的临时文件或缓存一旦不再需要应立刻删除

1.5.4【必须】异常处理和日志记录

应合理使用panic、recover、defer处理系统异常，避免出错信息输出到前端

对外环境禁止开启debug模式，或将程序运行日志输出到前端

1.6 加密解密

1.6.1【必须】不得硬编码密码/密钥

在进行用户登陆，加解密算法等操作时，不得在代码里硬编码密钥或密码，可通过变换算法或者配置等方式设置密码或者密钥。

1.6.2【必须】密钥存储安全

在使用对称密码算法时，需要保护好加密密钥。当算法涉及敏感、业务数据时，可通过非对称算法协商加密密钥。其他较为不敏感的数据加密，可以通过变换算法等方式保护密钥。

1.6.3【推荐】不使用弱密码算法

在使用加密算法时，不建议使用加密强度较弱的算法。

1.7 正则表达式

1.7.1【推荐】使用regexp进行正则表达式匹配

正则表达式编写不恰当可被用于DoS攻击，造成服务不可用，推荐使用regexp包进行正则表达式匹配。regexp保证了线性时间性能和优雅的失败：对解析器、编译器和执行引擎都进行了内存限制。但regexp不支持以下正则表达式特性，如业务依赖这些特性，则regexp不适合使用。

回溯引用Backreferences
查看Lookaround

后台类

1 代码实现类

1.1 输入校验

1.1.1【必须】按类型进行数据校验

所有外部输入的参数，应使用validator进行白名单校验，校验内容包括但不限于数据长度、数据范围、数据类型与格式，校验不通过的应当拒绝

无法通过白名单校验的应使用html.EscapeString、text/template或bluemonday对<, >, &, ',"等字符进行过滤或编码

1.2 SQL操作

1.2.1【必须】SQL语句默认使用预编译并绑定变量

使用database/sql的prepare、Query或使用GORM等ORM执行SQL操作

使用参数化查询，禁止拼接SQL语句，另外对于传入参数用于order by或表名的需要通过校验

1.3 网络请求

1.3.1【必须】资源请求过滤验证

使用"net/http"下的方法http.Get(url)、http.Post(url, contentType, body)、http.Head(url)、http.PostForm(url, data)、http.Do(req)时，如变量值外部可控（指从参数中动态获取），应对请求目标进行严格的安全校验。

如请求资源域名归属固定的范围，如只允许a.qq.com和b.qq.com，应做白名单限制。如不适用白名单，则推荐的校验逻辑步骤是：

第 1 步、只允许HTTP或HTTPS协议
第 2 步、解析目标URL，获取其HOST
第 3 步、解析HOST，获取HOST指向的IP地址转换成Long型
第 4 步、检查IP地址是否为内网IP，网段有：

第 5 步、请求URL
第 6 步、如有跳转，跳转后执行1，否则绑定经校验的ip和域名，对URL发起请求

官方库encoding/xml不支持外部实体引用，使用该库可避免xxe漏洞

1.4 服务器端渲染

1.4.1【必须】模板渲染过滤验证

使用text/template或者html/template渲染模板时禁止将外部输入参数引入模板，或仅允许引入白名单内字符。

1.5 Web跨域

1.5.1【必须】跨域资源共享CORS限制请求来源

CORS请求保护不当可导致敏感信息泄漏，因此应当严格设置Access-Control-Allow-Origin使用同源策略进行保护。

1.6 响应输出

1.6.1 【必须】设置正确的HTTP响应包类型

响应头Content-Type与实际响应内容，应保持一致。如：API响应数据类型是json，则响应头使用application/json；若为xml，则设置为text/xml。

1.6.2 【必须】添加安全响应头

所有接口、页面，添加响应头 X-Content-Type-Options: nosniff。

所有接口、页面，添加响应头X-Frame-Options。按需合理设置其允许范围，包括：DENY、SAMEORIGIN、ALLOW-FROM origin。用法参考：MDN文档

1.6.3【必须】外部输入拼接到HTTP响应头中需进行过滤

应尽量避免外部可控参数拼接到HTTP响应头中，如业务需要则需要过滤掉\r、\n等换行符，或者拒绝携带换行符号的外部输入。

1.6.4【必须】外部输入拼接到response页面前进行编码处理

直出html页面或使用模板生成html页面的，推荐使用text/template自动编码，或者使用html.EscapeString或text/template对<, >, &, ',"等字符进行编码。

1.7 会话管理

1.7.1【必须】安全维护session信息

用户登录时应重新生成session，退出登录后应清理session。

1.7.2【必须】CSRF防护

涉及系统敏感操作或可读取敏感信息的接口应校验Referer或添加csrf_token。

1.8 访问控制

1.8.1【必须】默认鉴权

除非资源完全可对外开放，否则系统默认进行身份认证，使用白名单的方式放开不需要认证的接口或页面。

根据资源的机密程度和用户角色，以最小权限原则，设置不同级别的权限，如完全公开、登录可读、登录可写、特定用户可读、特定用户可写等

涉及用户自身相关的数据的读写必须验证登录态用户身份及其权限，避免越权操作

没有独立账号体系的外网服务使用QQ或微信登录，内网服务使用统一登录服务登录，其他使用账号密码登录的服务需要增加验证码等二次验证

1.9 并发保护

1.9.1【必须】禁止在闭包中直接调用循环变量

在循环中启动协程，当协程中使用到了循环的索引值，由于多个协程同时使用同一个变量会产生数据竞争，造成执行结果异常。

1.9.2【必须】禁止并发写map

并发写map容易造成程序崩溃并异常退出，建议加锁保护

1.9.3【必须】确保并发安全

敏感操作如果未作并发安全限制，可导致数据读写异常，造成业务逻辑限制被绕过。可通过同步锁或者原子操作进行防护。

通过同步锁共享内存

使用sync/atomic执行原子操作

编程语言多版本管理

Tue, 20 Feb 2024 00:00:00 GMT

对于编程语言，有时对多个版本的管理，是一个痛点，那么使用多版本管理工具是一种有效的解决方案。多版本管理工具可以帮助我们在同一台机器上安装和使用多个版本的编程语言，同时可以轻松地在不同版本之间切换。这样，无论是为了兼容旧版本的代码，还是为了尝试新版本的特性，都能得到很好的支持。

👨‍💻 Golang

g安装

1. 下载 https://github.com/voidint/g/releases

配置流程：

1.创建目录在D盘新建目录G（可根据自己的情况设置新建目录，只要配置的目录地址正确就可以）

（1）在G下面新建bin文件夹

（2）在G下面新建go文件夹

（3）解压文件将exe文件放到bin目录下

（4）新建gowww文件夹用来存放代码

（5）在gowww下新建bin(编译文件存放位置)、pkg(包存放位置)、src目录(项目存放的位置)

2.配置环境变量

（1）配置g的环境变量 path D:\G\bin

（2）配置g安装目录环境变量 G_HOME = D:\G

（3）配置GOBIN D:\G\go\bin

（4）配置GOPATH （你代码的位置）

（5）配置GOROOT D:\G\go

（6）配置g默认目录生效 G_EXPERIMENTAL true

3.g基本命令

👨‍💻 Node.js

👨‍💻 Python

pyenv-win

NotionNext BLOG

Go测试-二十条

go性能分析-pprof

前言

如何使用pprof

1. runtime/pprof 方式pprof

2. net/http/pprof 方式pprof

3. 单元测试中进行profile

分析pprof

实战演练

1.定位CPU问题

2. 定位内存问题

3.定位goroutine问题

4.定位锁问题

5. 定位goroutine阻塞等待同步问题

参考文献

用 Go 语言实现刘谦 2024 春晚魔术，还原尼格买提汗流浃背的尴尬瞬间!

魔术：《守岁共此时》

步骤

一、 准备 4 张扑克牌，随意打乱，完成洗牌。

二、 对折，然后撕开，接着叠在一起，相当于扑克牌变成了两份，double 了，4 张变 8 张。

三、 问问自己名字有几个字，就从最上面拿出对应个数的牌放到底部。

四、 拿起最上面的 3 张牌，插入中间任意位置。

五、 拿出最上面的 1 张牌，藏于秘密的地方，比如屁股下。

六、 如果你是南方人，从上面拿起 1 张牌；如果你是北方人，则从上面拿起 2 张牌；假如我们不确定自己是南方人还是北方人，那就干脆拿起 3 张牌，然后插入中间任意位置。

七、 如果你是男生，从上面拿起 1 张牌；如果你是女生，则从上面拿起 2 张牌，撒到空中（扔掉）。

八、 魔法时刻，在遥远的魔术的历史上，流传了一个七字真言「见证奇迹的时刻」，可以带给我们幸福。现在，我们每念一个字，从上面拿一张放到最底部，即需要完成 7 次同样的操作。

见证奇迹

还原「尼格买提」神操作

彩蛋

总结

Go安全指南

通用类

1. 代码实现类

1.1 内存管理

1.1.1【必须】切片长度校验

1.1.2【必须】nil指针判断

1.1.3【必须】整数安全

1.1.4【必须】make分配长度验证

1.1.5【必须】禁止SetFinalizer和指针循环引用同时使用

1.1.6【必须】禁止重复释放channel

1.1.7【必须】确保每个协程都能退出

1.1.8【推荐】不使用unsafe包

1.1.9【推荐】不使用slice作为函数入参

1.2 文件操作

1.2.1【必须】 路径穿越检查

1.2.2【必须】 文件访问权限

1.3 系统接口

1.4 通信安全

1.4.1【必须】网络通信采用TLS方式

1.4.2【推荐】TLS启用证书验证

1.5 敏感数据保护

1.5.1【必须】敏感信息访问

1.5.2【必须】敏感数据输出

1.5.3【必须】敏感数据存储

1.5.4【必须】异常处理和日志记录

1.6 加密解密

1.6.1【必须】不得硬编码密码/密钥

1.6.2【必须】密钥存储安全

1.6.3【推荐】不使用弱密码算法

1.7 正则表达式

1.7.1【推荐】使用regexp进行正则表达式匹配

后台类

1 代码实现类

1.1 输入校验

1.1.1【必须】按类型进行数据校验

1.2 SQL操作

1.2.1【必须】SQL语句默认使用预编译并绑定变量

1.3 网络请求

1.3.1【必须】资源请求过滤验证

1.4 服务器端渲染

1.4.1【必须】模板渲染过滤验证

1.5 Web跨域

1.5.1【必须】跨域资源共享CORS限制请求来源

1.6 响应输出

1.6.1 【必须】设置正确的HTTP响应包类型

1.6.2 【必须】添加安全响应头

1.6.3【必须】外部输入拼接到HTTP响应头中需进行过滤

1.6.4【必须】外部输入拼接到response页面前进行编码处理

1.7 会话管理

一、准备 4 张扑克牌，随意打乱，完成洗牌。

二、对折，然后撕开，接着叠在一起，相当于扑克牌变成了两份，double 了，4 张变 8 张。

三、问问自己名字有几个字，就从最上面拿出对应个数的牌放到底部。

四、拿起最上面的 3 张牌，插入中间任意位置。

五、拿出最上面的 1 张牌，藏于秘密的地方，比如屁股下。

六、如果你是南方人，从上面拿起 1 张牌；如果你是北方人，则从上面拿起 2 张牌；假如我们不确定自己是南方人还是北方人，那就干脆拿起 3 张牌，然后插入中间任意位置。

七、如果你是男生，从上面拿起 1 张牌；如果你是女生，则从上面拿起 2 张牌，撒到空中（扔掉）。

八、魔法时刻，在遥远的魔术的历史上，流传了一个七字真言「见证奇迹的时刻」，可以带给我们幸福。现在，我们每念一个字，从上面拿一张放到最底部，即需要完成 7 次同样的操作。

1.2.1【必须】路径穿越检查

1.2.2【必须】文件访问权限