复习
Session攻击，攻击者不会禁用Session，可以窃取用户的会话并进行攻击。
单点登录，实现机制是我登录到一个子系统后，只能登录一次并访问其他子系统的webapp。 该过程是一个SSO系统(仅登录系统)，例如，不是处于已登录状态，而是用户登录页面跳转到SSO系统的页面，并在登录成功后生成证书。 如果用户访问了其他子系统，则不需要使用证书登录，但子系统必须重新验证证书。 防止篡改。
文章目录1、访问控制1.3要素2. OAuth 2.02.1认证码(前后端隔离) 2.2隐藏式)前端，无后端) 2.3加密式) 2.4无证书式)3.令牌更新，交互
一.访问控制
在授权和认证中，用户可以访问哪个页面是授权的问题，一般用户能否访问admin的页面是越权的问题。
访问控制，限制代理对对象的访问。 主体也可以是浏览器的客户端。 对象可以是主页和主页下的资源。 读取和修改是操作。 对服务器来说，服务器端口(http、https、mysql )计算机访问服务器的服务。 提出要求的电脑是主体。 防火墙可以控制恶意请求。 有访问控制列表，规定可以访问哪个ip以及不能访问。
linux上有只读或可写入的文件。 对某个用户组设置可写入权限。
1 .三要素代理(动作启动器)对象(被访问资源的实体)控制策略(代理访问对象的规则集合) )。
web APP应用程序也具有访问控制。
1 .基于角色的访问控制(经常使用RBAC ) ) ) ) ) ) ) ) )。
控制不同角色具有不同权限且可以访问的资源。 超级管理员可以在系统中设置创建、修改、删除、查看等权限，并具有所有权集合。 用户可以有多个角色。 如果系统知道作用，就赋予对应的权限。
如何实现？ 基于URL的访问控制决定不同的角色，将系统操作的每个URL放在权限表中，过滤器决定谁可以访问。
可以称为垂直权限管理。 如何避免越权？ 使用最小权限策略，并使用默认拒绝策略只为需要的主体单独配置权限。 可能会出现这种水平权限管理问题。
2 .和数据库访问控制
水平权限管理、数据级权限管理不是常见的解决方案。 这种情况与业务有关，需要对具体问题进行具体分析。 也可以使用用户组的概念来实现规则引擎。
2. OAuth 2.0是一种在APP应用程序之间访问数据的开源许可协议，用于许可第三方APP应用程序和检索用户数据。
OAuth为解决上述问题引入了许可证。 当第三方APP应用程序请求访问受保护资源时，资源服务会在得到资源用户的批准后向第三方发送访问令牌。 此访问令牌包含资源用户的授权访问范围、授权有效期等重要属性。 在后续资源访问期间，第三方APP应用程序必须保留令牌，直到用户主动终止子许可证或令牌自动过期。
用户和APP应用程序定义了资源所有者、资源服务、客户端APP应用程序和许可证服务角色。
OAuth的核心是颁发令牌以前，第三方APP应用程序已在资源服务器上注册并发布了第三方APP应用程序id和密钥。 要访问认证服务器，必须应用id和密钥对自身进行认证。
2.1认证码(前后端分离)认证码和令牌不相同。 授权码在前端传输，令牌存储在后端，与资源服务器的所有通信都在后台进行。 前后端分开比较安全。 A网站提供链接，用户点击后会跳转到B网站，将B网站的用户数据申请到A网站使用。 用户同意b站点在a站点上持有许可代码。 (code参数为许可证代码)
A站点获得许可证代码后，可以在后端向B站点请求令牌。 B接收请求并发放令牌。 refresh_token:可以与新令牌一起使用。 expries_in是有效期。
2.2隐形(前端、无后端) a网站提供链接，用户点击跳转至b网站，将b网站的用户数据报送a网站使用。 response_token直接在前端发出。
令牌的位置是URL锚点，它不会向服务器发送数据，而是在前端发送，以减少风险。 这个安全级别不高。
2.3密码式A网站直接通过用户名和密码申请令牌。 在这种情况下，用户需要高度信任a APP。 这个风险很大，只有在其他方法不能使用的时候才使用。
2.4凭证式()无前端的) a向b发送请求，b直接返回令牌。 这适用于第三方APP，不适用于用户(可能有多个用户共享同一令牌)。
3 .更新令牌并发放令牌后，将发放两个令牌。 一个是真的令牌，另一个是更新令牌。 名为refresh_token的字段用于更新令牌。 我用那个发送更新请求。
二、互联网业务安全1 .产品需要什么样的安全当一个产品的各个方面都做得很好的时候，安全就有可能成为产品的核心竞争力。
业务逻辑安全性：更改密码后，多个业务是否同步。 暴力破解密码时，使用锁定帐户的策略验证信息流程不规范并找回密码的过程。
2 .账号是如何被盗账号是如何被盗的：网站登录没有HTTPS，密码被网上嗅探了。 用户的电脑里进入了木马，密码被键盘记录软件获取了。 用户被骗
鱼网站所迷惑，密码被钓鱼网站所骗取。网站某登录入口可以被暴力破解。 分析账户被盗原因的途径：客服是重要和直接的渠道，从日志中寻找证据，打入敌人内部，探听最新动态。
3. 互联网垃圾 垃圾信息，就是无用的，有害的信息。危害：破坏网络信息生态，威胁人类安全。加剧信任危机，导致决策失误。信息爆炸导致信息匮乏，信息利用成本增加。信息污染使网络的教育负功能凸显，网络不良信息颠覆了主流的道德的观念。
垃圾处理：识别和拦截，拦截方法根据业务而定，可以冻结或删除账户，也可以只针对垃圾信息做屏蔽。识别垃圾信息，建立“规则”和“模型”
4. 网络钓鱼 利用欺骗性电子邮件或者伪造站点来引诱他人给出敏感信息。防控：浏览器拦截，给用户提示。直接打击钓鱼网站。用户教育。自动化识别钓鱼网站。
5.用户隐私保护 首先用户应该拥有知情权和选择权，其次网站应该妥善保管收集到的用户数据，不得将数据用于任何指定范围外的用途。
。直接打击钓鱼网站。用户教育。自动化识别钓鱼网站。
5.用户隐私保护 首先用户应该拥有知情权和选择权，其次网站应该妥善保管收集到的用户数据，不得将数据用于任何指定范围外的用途。