移動(dòng)應(yīng)用開(kāi)發(fā)安全規(guī)范10

1、勿做商業(yè)用途個(gè)人收集整理作者： ZHANGJIAN僅供個(gè)人學(xué)習(xí)，勿做商業(yè)用途移動(dòng)應(yīng)用開(kāi)發(fā)安全規(guī)范勿做商業(yè)用途個(gè)人收集整理1、數(shù)據(jù)保存規(guī)范1.1 、所有敏感信息不要保存到外部存儲(chǔ)中1.2 、 S1 級(jí)別的敏感信息不能在客戶端保存1.3 、 S2 級(jí)敏感數(shù)據(jù)必須加密保存（1）、采取權(quán)威的主流加密算法（如 DES、AES、 RSA等）（2）、選取秘鑰的長(zhǎng)度必須足夠長(zhǎng)，以便滿足安全性要求。（3）、加密算法的實(shí)現(xiàn)方法，必須采用操作系統(tǒng)官方提供的接口，或是各 語(yǔ)言標(biāo)準(zhǔn)算法庫(kù)提供的函數(shù)。（4）、嚴(yán)禁自己設(shè)計(jì)、實(shí)現(xiàn)機(jī)密算法注：敏感數(shù)據(jù)定義詳見(jiàn) 10. 敏感數(shù)據(jù)定義安全規(guī)范一節(jié)2、網(wǎng)絡(luò)傳輸規(guī)范客戶端與服務(wù)端之間

2、通信的網(wǎng)絡(luò)是不可信的， 包括運(yùn)營(yíng)商網(wǎng)絡(luò)和 wifi 無(wú)線網(wǎng)絡(luò)。2.1 、認(rèn)證授權(quán)相關(guān)網(wǎng)絡(luò)傳輸安全規(guī)范登錄、注冊(cè)、密碼找回等屬于認(rèn)證授權(quán)環(huán)節(jié)的網(wǎng)絡(luò)傳輸需要使用 https 協(xié)議 傳輸。2.3 、敏感數(shù)據(jù)傳輸需要使用 https 協(xié)議敏感數(shù)據(jù)定義詳見(jiàn) 10. 敏感數(shù)據(jù)定義安全規(guī)范一節(jié)2.3 、服務(wù)端的證書(shū)必須由權(quán)威的CA 機(jī)關(guān)提供服務(wù)端不能采用自簽名的方式提供證書(shū)， 客戶端需要實(shí)現(xiàn)驗(yàn)證服務(wù)端證書(shū)合 法性的功能。勿做商業(yè)用途個(gè)人收集整理2.4 、采用其他加密算法進(jìn)行傳輸加密的規(guī)范不建議使用對(duì)于無(wú)法采用 https 協(xié)議進(jìn)行加密通信的場(chǎng)景，需要使用其他加密通信方案 的必須按照以下規(guī)范實(shí)施：（1）、采取

3、權(quán)威的主流加密算法（如 DES、AES、 RSA等）（2）、選取秘鑰的長(zhǎng)度必須足夠長(zhǎng)，以便滿足安全性要求。（3）、加密算法的實(shí)現(xiàn)方法，必須采用操作系統(tǒng)官方提供的實(shí)現(xiàn)，或是各 語(yǔ)言標(biāo)準(zhǔn)算法庫(kù)提供的實(shí)現(xiàn)。（4）、客戶端、服務(wù)端之間需要有驗(yàn)證雙發(fā)合法性身份的機(jī)制（5）、嚴(yán)禁自己設(shè)計(jì)、實(shí)現(xiàn)機(jī)密算法2.5 、自動(dòng)升級(jí)的安全規(guī)范（1）、為了能夠及時(shí)修復(fù)已發(fā)布產(chǎn)品的安全漏洞，必須具備在線升級(jí)的功 能。（2）、在線升級(jí)功能的實(shí)現(xiàn)上必須對(duì)更新程序進(jìn)行完整性檢查，避免在升 級(jí)程序在網(wǎng)絡(luò)傳輸中被替換掉。3、頁(yè)面展示規(guī)范3.1 、 S0 級(jí)敏感信息不能在頁(yè)面中直接顯示3.2 、 S1 級(jí)敏感信息不能在頁(yè)面中完全顯示可

4、以采用 *隱藏部分內(nèi)容后再頁(yè)面上顯示。3.3 、 S2 級(jí)敏感信息規(guī)范（1）、單個(gè)信息展示，可以全部?jī)?nèi)容展示。（2）、同時(shí)展示 5 個(gè)以上該類(lèi)信息的頁(yè)面，需要對(duì)該類(lèi)信息的內(nèi)容做不完 全展示（使用 *隱藏部分內(nèi)容）勿做商業(yè)用途個(gè)人收集整理如：用戶列表的展示頁(yè)面4、日志安全規(guī)范4.1 、敏感數(shù)據(jù)不能保存在日志中所有 S1、S2、 S3 級(jí)別的敏感數(shù)據(jù)均不能在日志中出現(xiàn)，確實(shí)需要出現(xiàn) 的，需要保存時(shí)隱去部分信息。4.2 、正式發(fā)布版本不能包含 debug 級(jí)以下日志4.3 、關(guān)鍵操作日志記錄規(guī)范（1）、登錄、修改密碼、付款等關(guān)鍵操作，需要在日志中進(jìn)行記錄。（2）、關(guān)鍵操作日志的記錄位置應(yīng)該是服務(wù)器端

5、。5、身份認(rèn)證、授權(quán)和會(huì)話管理規(guī)范5.1 、身份認(rèn)證機(jī)制安全規(guī)范（1）、需要設(shè)計(jì)有效的身份驗(yàn)證機(jī)制。（2）、如果采取賬號(hào)密碼的認(rèn)證機(jī)制，密碼需要 6 位以上，字母數(shù)字混合（3）、涉及交易，資金等核心業(yè)務(wù)，需要有二次認(rèn)證機(jī)制。5.2 、身份認(rèn)證應(yīng)該綁定終端用戶的身份綁定的對(duì)象是用戶的身份，而非用戶的設(shè)備5.3 、會(huì)話管理安全規(guī)范登錄完成后的會(huì)話管理階段的所有請(qǐng)求都需要對(duì)用戶的合法身份進(jìn)行鑒別（如 token 方式），鑒別通過(guò)后才能進(jìn)行光管的操作。 文檔收集自網(wǎng)絡(luò)，僅用于個(gè)人學(xué)習(xí)勿做商業(yè)用途個(gè)人收集整理5.4 、使用第三方認(rèn)證安全規(guī)范（1）、使用 OAuth2.0 協(xié)議作為第三方登錄認(rèn)證的協(xié)議。（

6、2）、嚴(yán)格按照第三方開(kāi)放平臺(tái)接入規(guī)范執(zhí)行。（3）、認(rèn)證邏輯盡量放在服務(wù)器端完成，不要放在客戶端。6、服務(wù)端安全規(guī)范需要按照 web 服務(wù)安全規(guī)范執(zhí)行，重點(diǎn)關(guān)注以下幾點(diǎn)：6.1 、有效防范常規(guī)的 XSS、SQL 注入、 CSRF等 web 安全漏 洞。6.2 、對(duì)水平權(quán)限、垂直權(quán)限等與業(yè)務(wù)場(chǎng)景關(guān)系緊密的安全 漏洞有防范措施6.3 、有防范 DDOS、CC攻擊的安全方案。保障后端 API 服 務(wù) 和平臺(tái)的安全勿做商業(yè)用途個(gè)人收集整理7、針對(duì)使用第三方或開(kāi)源的代碼庫(kù)、框架的安全規(guī)范7.1 、在同類(lèi)產(chǎn)品中排名前三位的代碼庫(kù)或框架。7.2 、有團(tuán)隊(duì)在持續(xù)維護(hù)，最近兩年內(nèi)至少發(fā)不過(guò)一個(gè)新版 本或更新過(guò) b

7、ug 。7.3 、國(guó)外有 Google 、亞馬遜、微軟等或國(guó)內(nèi)有百度、 阿里、 騰訊等廠商使用的代碼庫(kù)或框架優(yōu)先考慮。8、應(yīng)用模塊、接口安全規(guī)范8.1 、應(yīng)用內(nèi)模塊組件間的驗(yàn)證應(yīng)用內(nèi)各組件、模塊間調(diào)用要進(jìn)行驗(yàn)證。確保調(diào)用方和被調(diào)用方多有應(yīng)用內(nèi) 的合法安全模塊。沒(méi)有被替換的風(fēng)險(xiǎn)。8.2 、對(duì)被調(diào)用的外部模塊的驗(yàn)證應(yīng)用對(duì)調(diào)用的外部模塊或組件，需要有完整的驗(yàn)證機(jī)制，確保被調(diào)用者的合 法性。8.3 、對(duì)外部調(diào)用者合法性驗(yàn)證應(yīng)用對(duì)外提供服務(wù)、數(shù)據(jù)訪問(wèn)接口的功能， 需要對(duì)調(diào)用者的合法性進(jìn)行驗(yàn)證。 注：對(duì)于 android 系統(tǒng)重點(diǎn)關(guān)注 Activity 、 BroadcastReceive、Service

8、、Content Provider 各組件之間訪問(wèn)的安全性 文檔收集自網(wǎng)絡(luò)，僅用于個(gè)人學(xué)習(xí)9、發(fā)布安全規(guī)范9.1 、測(cè)試版本嚴(yán)禁發(fā)布（1）、輸出測(cè)試 log 的版本勿做商業(yè)用途個(gè)人收集整理（2）、使用測(cè)試簽名的版本9.2 、使用公司官方證書(shū)簽名后的版本才能正式發(fā)布9.3 、簽名證書(shū)需要集中管理有有專(zhuān)人負(fù)責(zé)10、敏感數(shù)據(jù)定義安全規(guī)范級(jí)別內(nèi)容定義要求顯示規(guī)范備注S1密碼6 位以上，數(shù)字、 字母組合禁止顯示登錄密碼S2身份證號(hào)碼、護(hù)照號(hào)碼等前三位，后三位電話號(hào)碼前三位，后四位用戶 id11 位以上，不連續(xù) 數(shù)字至少隱去中間 4 位郵箱至少隱去中間 4 位用戶手機(jī)上的隱私 信息（通信錄、短信 等）只可

9、用作信 息收集S3用戶名用戶地址用戶賬戶金額交易記錄GPS信息勿做商業(yè)用途個(gè)人收集整理版權(quán)申明 本文部分內(nèi)容，包括文字、圖片、以及設(shè)計(jì)等在網(wǎng)上搜集整理。 版權(quán)為張儉個(gè)人所有This article includes some parts, including text, pictures, and design. Copyright is Zhang Jians personal ownership.文檔收集自網(wǎng)絡(luò)，僅用于個(gè)人學(xué)習(xí)用戶可將本文的內(nèi)容或服務(wù)用于個(gè)人學(xué)習(xí)、 研究或欣賞， 以及其 他非商業(yè)性或非盈利性用途， 但同時(shí)應(yīng)遵守著作權(quán)法及其他相關(guān)法律 的規(guī)定，不得侵犯本網(wǎng)站及相關(guān)權(quán)利人的合法

10、權(quán)利。除此以外，將本 文任何內(nèi)容或服務(wù)用于其他用途時(shí)， 須征得本人及相關(guān)權(quán)利人的書(shū)面 許可，并支付報(bào)酬 。 文檔收集自網(wǎng)絡(luò)，僅用于個(gè)人學(xué)習(xí)Users may use the contents or services of this articlefor personal study, research or appreciation, and other non-commercial or non-profit purposes, but at the same time, they shall abide by the provisions of copyright law and othe

11、r relevant laws, and shall not infringe upon the legitimate rights of this website and its relevant obligees. In addition, when any content or service of this article is used for other purposes, written permission and remuneration shall be obtained from the person concerned and the relevant obligee. 文檔收集自網(wǎng)絡(luò)，僅用于個(gè)人學(xué)習(xí)勿做商業(yè)用途個(gè)人收集整理轉(zhuǎn)載或引用本文內(nèi)容必須是以新聞性或資料性公共免費(fèi)信息為 使用目的的合理、善意引用，不得對(duì)本文內(nèi)容原意進(jìn)行曲解、修改， 并自負(fù)版權(quán)等法律責(zé)任 。 文檔收集自網(wǎng)絡(luò)，僅用于個(gè)人學(xué)習(xí)Reproduction or quotation of the content of this articlemust be reasonable and good-faith citation for the use of news or informa