【包邮】 Web之困：现代Web应用安全指南 【正版九新】

仅在15年前，互联网还是简单而无足轻重的：这套古怪的机制不过是让一群学生，还有一伙不太合群、住在地下室里的科学怪人，能访问彼此的个人主页而已，这些主页的内容可能是科学、他们的宠物或诗歌什么的。但到了今天，互联网已成为创建各种复杂交互应用的平台（这些应用包括从邮件客户端、图片编辑器到电脑游戏），它还是一种遍布全球、无数普通用户都能访问的大众媒体，同时它俨然已是重要的商业手段，以致1999～2001年第一次互联网泡沫破灭时，它正是导致经济倒退的主要原因。
即使以我们所处的信息化时代标准来衡量，互联网从默默无闻到无处不在，其发展速度也算异常惊人但这种惊人的跃升速度也带来许多难以预计的问题。互联网在设计上的缺陷和实现上的漏洞与它的发展状况完全不相称，但我们并没有机会停下脚步回顾之前的错误。这些缺陷很快就导致今时今日许多严重又普遍的数据安全问题：人们发现，当年那个用在简单花哨个人主页上的互联网机制设计标准，已完全不适用于当下每年处理庞大信用卡交易的在线商店。
如果我们回顾过去10年，心里难免会略有失落：几乎每个如今值得说道的在线应用，都因为贪图方便而凑合着用从早期互联网搬过来的技术，导致后期付出了沉重代价。以站点xssed.com为例，它仅仅收集了无数Web安全问题中很特定的一种，但在3年的运营时间里，已累计收集超过5万次攻击事件，真见鬼！然而，浏览器开发商还是颇为无动于衷，安全社区也未能就这些广泛存在的问题提出什么有见地的建议。与此相对的是安全专家正孜孜不倦地建造一套复杂而炫目的漏洞分类学，并对这种混乱景象的根本原因既习以为常又隐隐担忧绝望。
导致上述问题的部分原因，是由于这些所谓的专家长久以来对Web安全的整个混乱状态视而不见，对Web安全缺乏真正的了解。他们很利落地给网站漏洞贴上各种标签，比如“责任混淆”（confuseddeputy）问题的各种体现，或者干脆用一些30年前商业期刊上惯常的抓眼球字眼。再说了，他们干嘛要费心去关注网络安全呢？一个关于宠物的无聊个人主页上被加入了一段莫名其妙的注释代码哪能和传统的针对操作系统的漏洞攻击相提并论呢？
回顾过往，我确信我们中的大多数人都有过打落牙齿和血吞的感觉。不仅因为互联网的重要性已远超当初人们的预期，而且我们为了满足自己的心理舒适感，把一些重要的互联网基础特性置于不顾。结果导致即使设计最精良、经过最全面审核的网站应用，也往往比同样功能的非网站应用产生更多的问题。
我们过去搞砸了，现在到悔恨弥补的时候了。出于这个考虑，本书期望能在亟需解决的标准化问题上取得一点进展，除此以外，这也许还是第一本系统而全面地剖析当下Web应用安全问题的书籍。为达到这一目标，本书深入描述了我们日常面对的各种安全挑战的独特性，这里的“我们”包括安全专家、网站开发工程师和用户。
本书的章节安排以探讨浏览器的各主要特性和由此衍生出来的各种安全相关问题为主线。因为比起随便采用某种漏洞分类学来罗列问题（这是许多信息安全书籍通常采用的形式），希望这种方式能提供更丰富的信息和更直观的效果。我还希望，这样的安排能使本书更容易阅读。
为使读者便捷地获取答案，我会在每章的最后尽量附上一份“安全工程速查表”。这些速查表为网站应用设计中各种常见问题提供了一些合理的解决方向。此外，在本书的最后一章罗列了最常见的网站漏洞形式及其实现方式。
鸣谢
 本书中的许多内容都源自Google Browser SecurityHandbook项目，这是我从2008年开始维护整理的一个技术性维基站点，该站点以CreativeCommons授权模式发布。你可以通过浏览以下网址 /获取相关的源码。我很幸运，因为这个项目不但获得公司的支持，而且能和一群出色的同事一起工作，使得Browser SecurityHandbook 的内容能更有用、更准确。在此，我要特别感谢Filipe Almeida、Drew Hintz、MariuSchilder和Parisa Tabriz 的鼎力相助。
能站在巨人的肩膀上，对此我深感自豪。因为本书从安全社区成员对浏览器安全的广泛研究上获益良多，特别感谢Adam Barth、CollinJackson、Chris Evans、Jesse Ruderman、Billy Rios和Eduardo VelaNava，他们极大地提高了我们对这个领域的理解，为这个领域作出了巨大贡献。
 无限感激各位大牛们，继续牛下去吧！

　　《Web之困：现代Web应用安全指南》在Web安全领域有“圣经”的美誉，在世界范围内被安全工作者和Web从业人员广为称道，由来自GoogleChrome浏览器团队的世界*黑客、国际一流安全专家撰写，是目前唯一深度探索现代Web浏览器安全技术的专著。本书从浏览器设计的角度切入，以探讨浏览器的各主要特性和由此衍生出来的各种安全相关问题为主线，深入剖析了现代Web浏览器的技术原理、安全机制和设计上的安全缺陷，为Web安全工作者和开发工程师们应对各种基于浏览器的安全隐患提供了应对措施。
　　《Web之困：现代Web应用安全指南》开篇回顾了Web的发展历程和安全风险的演化；第一部分解剖了现代浏览器的工作原理，包括URL、HTTP协议、HTML语言、CSS、文档格式、浏览器插件等内容；第二部分从浏览器的设计角度深入分析了各种现代Web浏览器（Firefox、Chrome、IE等）所引入的重点安全机制，例如同源策略、源的继承、窗口和框架的交互、安全边界、内容识别、应对恶意脚本、外围的网站特权等，并分析了这些机制存在的安全缺陷，同时为Web应用开发者提供了如何避免攻击和隐私泄露的应对措施；第三部分对浏览器安全机制的未来趋势进行了展望，包括新的浏览器特性与安全展望、其他值得注意的浏览器、常见的Web安全漏洞等。

 点击查看：

 　　《Web之困：现代Web应用安全指南》Web安全领域圣经级著作，**深度探索现代Web浏览器安全技术的专著，由来自GoogleChrome浏览器团队的世界**黑客、国际一流安全专家撰写。
　　从浏览器设计角度深入剖析现代浏览器的技术原理、安全机制和设计上的安全缺陷，为Web安全工作者应对基于浏览器的各种安全隐患提供应对措施。