web的安全防護早已講過一些專業(yè)知識了，下邊再次說一下網站安全防護中的登陸密碼傳輸、比較敏感實際操作二次驗證、手機客戶端強認證、驗證的不正確信息、避免暴力破解密碼、系統(tǒng)日志與監(jiān)控等。
一、登陸密碼傳輸
登陸頁面及全部后端必須驗證的網頁,頁面必須用ssl、tsl或別的的安全傳輸技術開展瀏覽，原始登陸頁面務必應用ssl、tsl瀏覽，不然網絡攻擊將會變更登錄表格的action特性，造成賬號登錄憑據泄漏，假如登陸后未應用ssl、tsl瀏覽驗證網頁頁面，網絡攻擊會盜取未數據加密的應用程序id，進而嚴重危害客戶當今主題活動應用程序，所以，還應當盡量對登陸密碼開展二次數據加密，隨后在開展傳送。
二、比較敏感實際操作二次驗證
以便緩解csrf、應用程序被劫持等系統(tǒng)漏洞的危害，在升級帳戶比較敏感信息內容（如客戶登陸密碼，電子郵件，買賣詳細地址等）以前必須認證帳戶的憑據，要是沒有這類對策，網絡攻擊不用了解客戶的當今憑據，就能根據csrf、xss攻擊實行比較敏感實際操作，除此之外，網絡攻擊還能夠臨時性觸碰客戶機器設備，瀏覽客戶的電腦瀏覽器，進而盜取應用程序id來對接當今應用程序。
三、手機客戶端強認證
程序運行能夠 應用第二要素來檢驗客戶是不是能夠 實行比較敏感實際操作，典型性實例為ssl、tsl手機客戶端身份認證，別稱ssl、tsl雙重校檢，該校檢由手機客戶端和服務器端構成，在ssl、tsl揮手全過程中推送分別的資格證書，如同應用服務器端資格證書想資格證書授予組織（ca）校檢網絡服務器的真實有效一樣，網絡服務器能夠 應用第三方cs或自身的ca校檢客戶端證書的真實有效，因此，服務器端務必為客戶出示為其轉化成的資格證書，并為資格證書分派相對的值，便于用這種值確定資格證書相匹配的客戶。
四、驗證的錯誤
驗證不成功后的錯誤，假如未被恰當保持，可被用以枚舉類型客戶id與登陸密碼，程序運行應當以通用性的方法開展相對，不管登錄名還是密碼錯誤，都不可以表名當今客戶的情況。不正確的相對實例：登錄失敗，失效登陸密碼；登錄失敗，失效客戶；登錄失敗，登錄名不正確；登錄失敗，密碼錯誤；恰當的相對實例：登錄失敗，失效登錄名或登陸密碼。一些程序運行回到的錯誤盡管同樣，可是回到的狀態(tài)碼卻不同樣，這類狀況下也將會會曝露帳戶的基本信息。
五、避免暴力破解密碼
在web程序運行上實行暴力破解密碼是一件很容易的事兒，假如程序運行不容易因為數次驗證不成功造成帳戶禁止使用，那麼網絡攻擊將還有機會不斷猜想登陸密碼，開展不斷的暴力破解密碼，直到帳戶被攻占。廣泛的處理方法有多要素驗證、短信驗證碼、個人行為校檢（阿里云服務器、極驗等均出示服務項目）。
六、系統(tǒng)日志與監(jiān)控
對驗證信息內容的記錄和監(jiān)控能夠 便捷的檢驗進攻和常見故障，保證記錄下列3項內容：
1、記錄全部登錄失敗的實際操作；
2、記錄全部密碼錯誤的實際操作；
3、記錄全部帳戶鎖住的登陸；以上這些都是防止網站被攻擊的辦法，如果實在無法修復漏洞的話可以咨詢專業(yè)的網站安全公司來處理解決，推薦可以去sine安全，鷹盾安全，網石科技，啟明星辰等等這些專業(yè)的安全公司去處理解決。