安全问题

一、常见安全问题

以下是 Golang Web 开发中常见的安全问题及解决方案 的总结，适合面试快速回顾：

---

1. 注入攻击（SQL/NoSQL/Command Injection）

• 问题：未过滤的用户输入直接拼接到查询或命令中。

  // 错误示例（SQL 注入）
  query := fmt.Sprintf("SELECT * FROM users WHERE name = '%s'", userInput)

• 解决：
  • 参数化查询（使用 database/sql 的 Prepare + Exec/Query）：

    db.Exec("SELECT * FROM users WHERE name = ?", userInput)

  • ORM 工具（如 GORM）：自动转义参数。
  • 输入校验：白名单过滤（如正则匹配合法字符）。

2. 跨站脚本攻击（XSS）

• 问题：用户提交的恶意脚本被渲染到页面中执行。
• 解决：
  • 转义输出：模板引擎自动转义（如 html/template）：

    template.HTMLEscapeString(userInput)

  • HTTP 头防护：

    c.Header("Content-Security-Policy", "default-src 'self'")

  • 富文本处理：使用库（如 bluemonday）过滤 HTML 标签。

3. 跨站请求伪造（CSRF）

• 问题：攻击者诱导用户发起非预期的请求（如转账）。
• 解决：
  • CSRF Token：Gin 可使用 csrf 中间件：

    r.Use(csrf.Middleware(csrf.Options{Secret: "your-secret"}))

  • SameSite Cookie：

    c.SetSameSite(http.SameSiteStrictMode)

4. 认证与会话安全

• 问题：弱密码、会话固定、Token 泄露等。
• 解决：
  • JWT 安全实践：
    • 使用 HS256/RS256 算法，设置短有效期（exp）。
    • Token 存储于 HttpOnly + Secure Cookie 中。
  • 密码存储：加盐哈希（如 bcrypt）：

    hashedPassword, _ := bcrypt.GenerateFromPassword([]byte(password), bcrypt.DefaultCost)

  • 防暴力破解：限流（如 github.com/ulule/limiter）。

5. 敏感数据泄露

• 问题：日志、响应中暴露敏感信息（密码、密钥）。
• 解决：
  • 日志过滤：屏蔽敏感字段（如身份证、银行卡号）。
  • 环境变量：配置信息通过 viper/os.Getenv 读取，而非硬编码。
  • HTTP 头安全：

    c.Header("X-Content-Type-Options", "nosniff")
    c.Header("X-Frame-Options", "DENY")

6. 文件上传漏洞

• 问题：上传恶意文件（如 .php、超大文件）导致服务器被入侵。
• 解决：
  • 文件类型校验：检查 Content-Type 和文件头（魔数）。
  • 限制扩展名：白名单控制（如只允许 .jpg,.png）。
  • 隔离存储：文件保存到非 Web 根目录，禁用执行权限。

7. 不安全的依赖（第三方库）

• 问题：依赖库存在已知漏洞（如 CVE）。
• 解决：
  • 定期扫描：使用 govulncheck 或 trivy 检查依赖。
  • 最小化依赖：避免引入不必要的库。

8. DDOS 攻击

• 问题：高频请求导致服务瘫痪。
• 解决：
  • 限流中间件：

    r.Use(rateLimitMiddleware) // 使用令牌桶算法

  • WAF 集成：Nginx 层防护或云服务（如 AWS Shield）。

9. 不安全的反序列化

• 问题：恶意序列化数据触发远程代码执行（如 encoding/json 嵌套敏感结构）。
• 解决：
  • 避免 Unmarshal 不可信数据：优先使用 json.Decoder 并校验字段。
  • 使用安全库：如 github.com/securego/gosec 扫描代码。

10. HTTP 安全头缺失

• 问题：未配置安全头导致点击劫持、MIME 嗅探等攻击。
• 解决：强制添加头部：

  func SecureHeaders() gin.HandlerFunc {
      return func(c *gin.Context) {
          c.Header("X-XSS-Protection", "1; mode=block")
          c.Header("Strict-Transport-Security", "max-age=63072000; includeSubDomains")
          c.Next()
      }
  }

二、面试回答技巧

• 结构化回答：先描述问题场景，再给出具体代码解决方案。
• 结合经验：举例说明实际项目中如何防御（如“我们通过 JWT + 限流解决了 XSS 和暴力破解”）。
• 扩展思考：提及 OWASP Top 10 或其他高级防护（如零信任架构）。

三、总结

Golang Web 安全的核心是 输入校验、输出转义、最小权限原则 和 深度防御。掌握这些方案能覆盖 90% 的面试安全相关问题。