开发完成后，还有另外90%的工作，你可能一直没有做

我来了administrator默认密码 ，朋友们~

今天这一章讲的是安全问题administrator默认密码 。

只要你的程序与互联网相连，那么它就有随时被攻击被入侵的可能administrator默认密码 。不用想着“没人在意我的代码，我这服务器也没人知道”之类的话，来自欺欺人。

就像是服务器里的挖矿脚本一样，它能利用你一点算力就利用你一点算力，才不会管你的服务器是自己买来玩的，还是跑着一个千万级的项目呢administrator默认密码 。

所以，只是把功能完成了还不够，还有另外90%的安全工作要做administrator默认密码 。

作者提到administrator默认密码 了5条安全原则：

最大限度地减少攻击面

最低权限原则

安全默认值

加密敏感数据

保持安全更新

一、最大限度地减少攻击面

一个系统的攻击面，来自于输入数据、提取数据、调用服务的所有入口总和administrator默认密码 。

比如administrator默认密码 ，越复杂的代码，越有可能被攻击，复杂意味着出错的概率高，出错就代表有机可乘

比如administrator默认密码 ，输入可以用来攻击，比如sql注入

比如，没有认证的服务可以被攻击，比如一个接口没有加任何认证机制，互联网上的所有人都可以访问它，这就很危险administrator默认密码 。

比如，有认证的服务也可以被攻击，比如使用了123456这样默认密码的账号，那认证的服务也约等于形同虚设administrator默认密码 。

比如，调试报错的信息可以用来获得更多有用的信息，它能帮我们更快找到bug的同时，也能给黑客提供方便administrator默认密码 。

二、最低限度的特权原则

用最小的权限，最小的时间完成需要干的事情administrator默认密码 。

不要一上来就用root或者Administrator这样最高的权限administrator默认密码 。

比如，有人住酒店，只用拿可以开他自己房门的门卡给他就可以了，没必要拿那种工作人员才有的，可以开所有房门的门卡给他，这样太不安全了administrator默认密码 。

假如，真的客户的房卡丢了，着急开门的情况下，你拿出那张万能房卡给他开开门之后，赶紧把这个万能房卡收好，并给住户补办一张新房卡administrator默认密码 。

最高的权限被暴露是很危险的，这其实也是减少被攻击面的一个方式administrator默认密码 。

三、安全默认值

我们默认给系统一个更安全的选项，虽然这样不一定用户友好administrator默认密码 。

比如，常见的密码输入框，都是默认输入的内容变成星号的，如果你想看到输入的内容，有一个选项，点了之后，才能看到administrator默认密码 。它不会默认就明文展示。

比如，阿里的服务器，你买完之后，它默认啥端口都不给你开，你要用哪个，你自己再开哪个，而不是一上来就全给你开了administrator默认密码 。

四、加密敏感数据

对诸如、密码、身份证号、银行卡号、手机号、家庭住址等个人敏感信息，都应该进行加密处理，而不能直接明文存放administrator默认密码 。即便是数据库里也不行，万一数据泄露了，还能有一层二次保护。

五、保持安全更新

假设你的系统，提示了有新的安全补丁可以安装，请立马安装administrator默认密码 。否则，你就将你的系统暴露在了已知的危险中。有统计表明，很多数据泄露事件，都是因为系统更新不及时导致的。

密码学与直觉

其实原文里叫common sense常识，但我感觉叫直觉也不错，而且还押韵administrator默认密码 。

作者特别提到了，当涉及到密码学的部分，我们的常识或直觉通常都是不好使的，反而会让事情变得不安全administrator默认密码 。

比如，有些网站上会禁止你粘贴密码，你只能自己手打administrator默认密码 。从直觉上来说，这是安全的，它可以防止你的剪贴板被窃取，当然可能还有别的理由。但是，这可能直接导致，网站的用户设置一个更简单的密码，为了方便之后每一次的输入。

同样的，书里还列举了许多反密码学的设计，看下来之后，发现几乎所有人都在犯administrator默认密码 。

比如，规定了密码必须包含特殊字符、大小写、数字，这样的administrator默认密码 。实话说，这确实挺崩溃的，好多时候注册一个账号，想密码比想用户名还久，而且，确定一个之后，基本所有网站都用这一个，因为想密码实在是太累了。

其实这个规定的目的是为了让你使用更加随机，更加长的密码，但反而导致了我们为了更容易记住，使用了更有规律的密码administrator默认密码 。

这么想来，与其增加这么多规定，不如，直接在密码旁边，加一个随机密码生成器，直接复制进去使用更快，更安全administrator默认密码 。

除了关于密码设置这些反直觉的事情以外administrator默认密码 。

还有一条最重要的事情，拥有不要尝试自己来administrator默认密码 。

比如自己设计一个加密算法，你引用为豪的东西，可能被专家分分钟破解掉administrator默认密码 。

把这件事托管给第三方是更务实的做法，他们成天和这个打交道，他们比我们专业administrator默认密码 。