前言
最近看了一本不错的互联网安全类的书籍，觉得应该留下些什么。《白帽子讲Web安全》为阿里的首席安全专家吴翰清所著。
此书结合了吴翰清在阿里多年的工作经验，对Web安全领域的众多典型案例，站在白帽子的视角，讲述Web安全的方方面面，虽然也剖析攻击原理，但更重要的是如何防范这些问题。
本书对当前WEB应用常见的攻击手法进行了较为全面的概括，本篇文章将就此书所阐述的安全观进行浅显的总结。
对于互联网安全的思考
要以正确的思路去看待安全问题：安全工程师的核心竞争力不在于他能拥有多少个0day，掌握多少种安全技术，而是在于他对安全理解的深度，以及由此引申的看待安全问题的角度和高度。
我们不是要做一个能够解决问题的方案，而是要做一个能够“漂亮地”解决问题的方案。这应该是每一名优秀的安全工程师所应有的追求。
白帽子的定义
不同于以破坏为乐的黑帽子，白帽子是以建设更安全的互联网为己任。
安全的本质
安全问题的本质是信任的问题：一切的安全方案设计的基础，都是建立在信任关系上的。必须有一些最基本的假设，安全方案才能得以建立。
安全是一个持续的过程：攻击和防御技术就是在不断碰撞和对抗中得到发展的。某一时期的攻击或防御技术，都不可能永远有效，永远用下去。这是因为防御技术在发展的同时，攻击技术也在不断发展，两者是相互促进的辩证关系。
安全三要素
机密性：要求保护数据内容不能泄露，加密是实现机密性要求的常见手段。
完整性：要求保护数据内容是完整、没有被篡改的。常见的保证一致性的技术手段是数字签名。
可用性：要求保护资源是“随需而得”。拒绝服务攻击Dos破坏的就是安全的可用性。
安全评估的四阶段
安全评估的过程，可以简单地分为4个阶段：
- 资产等级划分
- 威胁分析
- 风险分析
- 确认解决方案
互联网安全的核心问题，是数据安全的问题。
白帽子兵法
- Secure By Default 原则
- 黑名单、白名单
- 最小权限原则
- 纵深防御原则
- 数据与代码分离原则
- 不可预测性原则
安全是一门朴素的学问，也是一种平衡的艺术。
本篇文章是以《白帽子讲web安全》为基础，结合自身见解而成。如有错漏，请联系指正，转载请注明出处！