Questions tagged «security»

是否可以防止在Android应用程序中记录屏幕？ 我想开发一个Android安全应用程序。在这种情况下，我需要检测正在后台运行的屏幕录像软件并杀死它们。我已使用SECURE FLAG防止屏幕截图。但我不知道是否有可能也防止Android屏幕的视频捕获。让我知道如何防止屏幕捕获（视频/屏幕截图）。

118 android  security  screenshot  snapshot  screen-capture 

我想将密码的哈希存储在手机上，但是我不确定该怎么做。我似乎只能找到加密方法。密码应如何正确散列？

117 c#  security  hash  passwords  windows-phone-7 

今天早些时候，有人问了有关Web应用程序中输入验证策略的问题。 在撰写本文时，最高答案建议PHP仅使用htmlspecialchars和mysql_real_escape_string。 我的问题是：这是否总是足够？还有更多我们应该知道的吗？这些功能在哪里分解？

116 php  security  xss  sql-injection 

如果用户在登录屏幕上提交带有其用户名和密码的表单，则密码以纯文本形式发送（即使使用POST，如果我输入错了，也请纠正我）。 所以问题是，保护用户及其密码免受可能窃听通信数据的第三方的正确方法是什么？ 我知道HTTPS可以解决此问题，但是有什么方法可以使用标准HTTP协议（POST请求）来确保至少某种程度的安全性？（也许以某种方式使用javascript） 编辑 我可能遗漏了一些重要的事情。 我要讲的是一个页面-这是PHP生成的登录页面，它当然是在HTTP GET请求中作为HTML文件发送给用户的。服务器与客户端之间没有建立（@Jeremy Powel）连接，因此我无法创建此类握手协议。我希望整个过程对用户透明-他想提交密码，而不是处理密码学。 谢谢。

115 security  http  encryption  passwords  plaintext 

通过查看java.securitymy 的文件JRE，我发现默认使用的密钥库类型设置为JKS。在这里，列出了可以使用的密钥库类型。 有推荐的密钥库类型吗？不同密钥库类型的优缺点是什么？

114 java  security  ssl  jsse 

我收到以下错误： XMLHttpRequest cannot load file:///C:/Users/richa.agiwal/Desktop/get/rm_Library/templates/template_viewSettings.html. Cross origin requests are only supported for HTTP. 我意识到这个问题之前已经得到回答，但是我仍然没有找到解决问题的方法。我尝试chrome.exe --allow-file-access-from-files从命令提示符下运行，并将文件移至本地文件系统，但是仍然出现相同的错误。 我感谢任何建议！

113 security  google-chrome 

每次使用内置功能时，每次URL从浏览器的地址栏中测试新内容时，我都会遇到相同的旧错误returning Json。MVC JsonResult helper）： 此请求已被阻止，因为当在.NET中使用敏感信息时，敏感信息可能会泄露给第三方网站GET request。要允许GET requests，请设置JsonRequestBehavior为AllowGet。 这次，我没有为确认而烦恼并解雇Fiddler来执行发布请求，而是想知道GET请求暴露了一个POST请求没有暴露的确切含义是什么？

112 asp.net-mvc  json  security  http-post  http-get 

已关闭。这个问题是基于观点的。它当前不接受答案。 想改善这个问题吗？更新问题，以便通过编辑此帖子以事实和引用的形式回答。 去年关闭。 改善这个问题 （从此线程产生，因为这实际上是一个问题，并不特定于NodeJS等） 我正在通过身份验证实现REST API服务器，并且已经成功实现了JWT令牌处理，以便用户可以使用用户名/密码通过/ login端点登录，然后从服务器机密生成JWT令牌并将其返回给客户。然后，在每个经过身份验证的API请求中，将令牌从客户端传递到服务器，然后使用服务器机密来验证令牌。 但是，我试图了解关于如何以及在多大程度上验证令牌的最佳实践，以构成一个真正安全的系统。“验证”令牌应该包含什么内容？可以使用服务器秘密来验证签名是否足够，还是我还应该对照服务器中存储的某些数据来交叉检查令牌和/或令牌有效载荷？ 基于令牌的身份验证系统仅与在每个请求中传递用户名/密码一样安全，只要获取令牌比获取用户密码同等或更困难。但是，在我看到的示例中，生成令牌所需的唯一信息是用户名和服务器端机密。这不是说，假设一分钟内恶意用户获得了服务器机密知识，他现在就可以代表任何用户产生令牌，从而不仅可以访问一个给定的用户，而且如果密码为获得，但实际上是所有用户帐户？ 这使我想到了以下问题： 1）JWT令牌验证是否应仅限于验证令牌本身的签名，仅依靠服务器机密的完整性或通过单独的验证机制进行验证？ 在某些情况下，我已经看到了令牌和服务器会话的组合使用，其中在通过/ login端点成功登录后会建立一个会话。API请求会验证令牌，还将令牌中找到的解码数据与会话中存储的某些数据进行比较。但是，使用会话意味着使用cookie，从某种意义上说，它违反了使用基于令牌的方法的目的。这也可能给某些客户带来麻烦。 可以想象服务器将当前所有令牌都保留在内存缓存或类似的内存中，以确保即使服务器机密受到威胁，攻击者也可以生成“有效”令牌，只有通过/ login端点生成的确切令牌将被接受。这是合理的还是仅仅是多余/过度的？ 2）如果JWT签名验证是验证令牌的唯一方法，这意味着服务器密钥的完整性是切入点，那么应该如何管理服务器密钥？从环境变量读取并为每个部署的堆栈创建一次（随机化？）？定期更新或轮换（如果这样，如何处理在轮换之前创建但在轮换之后需要验证的现有有效令牌，如果服务器在任何给定时间保留当前和先前的机密就足够了） ？还有吗 当涉及到服务器机密受到威胁的风险时，我可能只是过于偏执，这当然是一个更普遍的问题，需要在所有加密情况下解决……

111 security  authentication  token  jwt  secret-key 

我目前是一名学生，并且正在学习PHP，我正在尝试对PHP中的数据进行简单的加密/解密。我进行了一些在线研究，其中一些非常令人困惑（至少对我而言）。 这是我想要做的： 我有一个包含这些字段（用户ID，Fname，Lname，Email，Password）的表 我想拥有的是先加密所有字段，然后再解密（sha256如果没有任何加密算法，是否可以用于加密/解密） 我想学习的另一件事是如何创建一种hash(sha256)与优质“盐”结合的单一方法。（hash(sha256)+salt) 先生/女士，我基本上只是想对加密/解密进行简单的实现，您的回答会很有帮助，非常感谢。谢谢++

110 php  security  encryption  cryptography  encryption-symmetric 

我正在开发一个本地研究工具，该工具需要关闭Firefox的相同来源策略（就脚本访问而言，我并不真正在乎跨域请求）。 更具体地说，我希望宿主域中的脚本能够访问页面中嵌入的任何iframe中的任意元素，而不管它们的域如何。 我知道以前的问答提到了CORS FF扩展，但这不是我所需要的，因为它仅允许CORS，而不能访问脚本。 如果不能轻松完成，那么我也将不胜感激，这些见解将我指向FF src代码的特定部分，我可以对其进行修改以禁用SOP，以便重新编译FF。

110 security  firefox  same-origin-policy 

我注意到大多数站点都通过HTTPS以纯文本形式将密码发送到服务器。如果我不是将密码的哈希值发送到服务器，那有什么好处吗？会更安全吗？

110 security  authentication  login  https 

已关闭。这个问题需要更加集中。它当前不接受答案。 想改善这个问题吗？更新问题，使其仅通过编辑此帖子来关注一个问题。 2年前关闭。 改善这个问题 这些天来，我几乎在每个交叉服务应用程序中都看到这个词。 API密钥到底是什么？其用途是什么？ 同样，公共和私有API密钥之间有什么区别。

109 api  security  terminology  api-key 

我在Rails，django（和一点点php）上开发了一些应用程序，在其中一些程序中我开始做的一件事是将数据库和其他密码作为环境变量而不是纯文本存储在某些配置文件中（或在settings.py中（对于Django应用）。 在与我的一位合作者讨论此问题时，他建议这是一种不良做法-也许这并不像最初看起来那样安全。 所以，我想知道-这是安全的做法吗？将密码以纯文本格式存储在这些文件中是否更安全（当然，请确保不要将这些文件保留在公共存储库中或其他内容中）？

109 ruby-on-rails  django  security  passwords  environment-variables 

我在React教程上阅读了这一内容。这是什么意思？ React是安全的。我们不会生成HTML字符串，因此XSS保护是默认设置。 如果React安全，XSS攻击如何工作？如何实现这种安全性？

109 reactjs  security  xss 

在Firefox中，我该如何做相当于--disable-web-security在Chrome中。这已经发布了很多，但从来没有一个真正的答案。大多数都是指向附件的链接（其中一些链接在最新的Firefox中不起作用或根本不起作用），并且“您只需要在服务器上启用支持”即可。 这是暂时的测试。我知道安全隐患。 我无法在服务器上打开CORS，尤其是永远无法允许localhost或类似主机。 标志，设置或其他东西比插件要好得多。我也尝试过：http : //www-jo.se/f.pfleger/forcecors，但是一定有问题，因为我的请求返回为完全空，但Chrome中的相同请求可以返回。 同样，这仅用于测试，然后再推向允许范围内的产品。

108 security  firefox  cross-domain  cors