保护 Java Web 应用程序

Question

我想保护我的 Web 应用程序，但我想知道应该使用哪种安全措施。

例如，我是使用 SSL 认证还是编写自己的 JCA（Java 密码体系结构服务）更好？

哪一个给了我什么，它们的优点或缺点是什么？

如果使用 SSL 更好，那么使用哪一个更好？ DV、OV（对最终用户有什么区别）或 EV？

谢谢

Answer 1

规则 #1

请勿尝试以任何形式或形式推出您自己的安全程序、协议、机制。许多学者将他们的大部分研究用于创建供公众使用的加密安全算法。

宝贵的资源：

• https://security.stackexchange.com/questions/18197/why-shouldnt-we-roll-our-own
• https://news.ycombinator.com/item?id=9375795
• https://www.reddit.com/r/programming/comments/3ugvo8/another_example_of_why_you_shouldnt_rollyourown/

---

继续你的其余部分；您绝对应该主要使用 SSL 证书来保护从客户端到服务器的传输级别的通信（感谢 HTTPS）。

也就是说，如果您能够很好地从 CA 获得扩展验证证书，并且可能是更好的证书than a Domain Validated one。

普通最终用户的差异实际上可以忽略不计，这里的关键是启用 HTTPS。除此之外，您的 SSL 可以/应该在 Web 服务器级别（例如 Nginx）进行配置，并且本质上与语言/技术无关。

最后一点 - 我强烈建议您查看Let's Encrypt，因为它允许您以编程方式在您的网络服务器上设置您的 SSL 证书，包括电子邮件通知和自动更新证书以避免它们过期。