H5安全开发实践教程

本书为信息化新核心课程（NCC）融媒体专业系列教材，从前端、通信及服务器端这3个方面对H5开发中的安全技术和技巧进行介绍。

本书共3篇，第1篇主要介绍在H5应用前端开发中对用户输入信息进行验证的方法；第2篇主要介绍H5应用通信方面的安全防护技术；第3篇主要介绍H5应用服务器端的安全防护技术，并结合两个实例对H5应用的安全防护进行整体介绍。

本书适合作为高校教材，供计算机、软件工程、信息安全、网络安全、通信工程、大数据等相关专业的师生阅读。此外，本书也适合从事开发工作的读者阅读，以提高其安全开发技术水平。

赵宇 首都经济贸易大学信息处高级工程师，长期从事信息化建设与安全运维工作，先后做过网络建设、运维、安全防护，以及开发、设计、项目管理等工作，具有丰富的管理经验和实战经验。

001 绪论

　001 0.1 H5安全简介

　001 0.1.1 什么是H5

　003 0.1.2 H5面临的安全威胁

　007 0.1.3 H5开发中常见的安全问题

　007 0.2 如何开发相对安全的H5应用

　007 0.2.1 H5应用构架安全分析

　008 0.2.2 H5应用设计和开发的安全原则

　010 0.2.3 H5安全开发中的代码调试与程序测试

　013 0.2.4 H5代码编写规范

　016 第1篇 献给雅典娜的木马——前端安全防护

　017 第1章 H5输入安全

　018 1.1 H5前端安全

　018 1.1.1 HTML5与安全

　019 1.1.2 CSS与安全

　022 1.1.3 JavaScript与安全

　027 1.1.4 H5输入安全验证

　027 1.2 利用input标签属性的安全验证

　029 1.2.1 利用autocomplete属性防止隐私泄露

　031 1.2.2 利用required属性对输入信息进行非空核查

　033 1.2.3 利用type属性对输入信息进行验证

　036 1.2.4 利用正则表达式对输入信息进行验证

　041 1.2.5 利用file属性对文件上传进行防护

　045 1.3 利用form标签作为阻塞点进行安全防护

　047 1.4 利用键盘输入操作进行安全防护

　047 1.4.1 键盘事件简介

　052 1.4.2 键盘输入安全验证

　053 1.5 输入安全防护实例

　053 1.5.1 允许多种类信息输入的防护实例

　056 1.5.2 双因子认证防护实例

　063 第2章 H5页面设计安全

　064 2.1 用户与安全

　064 2.1.1 用户权限的安全

　064 2.1.2 用户输入的安全

　065 2.1.3 用户操作的安全

　065 2.2 基于安全的页面设计原则

　066 2.2.1 信息反馈原则

　070 2.2.2 预防错误原则

　078 2.2.3 允许后悔原则

　079 2.2.4 输入辅助性原则

　084 2.2.5 保持一致原则

　085 2.2.6 普遍可用性原则

　086 2.3 页面自适应

　086 2.3.1 屏幕自适应

　089 2.3.2 浏览器自适应

　093 2.3.3 页面自适应

　097 2.4 易用的表格

　097 2.4.1 表格设计对阅读的影响

　103 2.4.2 第三方代码的安全

　105 第2篇 “宫门倒”的秘密——通信安全防护

　106 第3章 H5通信交互

　106 3.1 网络通信协议

　107 3.1.1 HTTP与HTTPS

　109 3.1.2 SSL协议与SSL证书

　112 3.1.3 WebSocket协议

　113 3.2 数据通信应用

　113 3.2.1 利用form标签的method属性进行数据通信

　116 3.2.2 利用伪实时方式——AJAX进行数据通信

　121 3.2.3 利用实时方式——WebSocket进行数据通信

　132 3.2.4 利用短信、邮件进行登录验证

　143 第4章 H5用户状态保持的安全

　144 4.1 cookie

　144 4.1.1 初识cookie

　150 4.1.2 cookie安全防护

　151 4.2 session

　151 4.2.1 初识session

　157 4.2.2 session安全防护

　157 4.3 WebStorage

　158 4.3.1 localStorage

　165 4.3.2 sessionStorage

　170 第3篇 温泉关的牧羊古道——服务器端安全防护

　171 第5章 服务器构架与安全

　172 5.1 WAMP构架

　173 5.1.1 软件安装

　177 5.1.2 WAMP的服务配置

　186 5.2 LNMP构架

　186 5.2.1 Linux操作系统的安装

　190 5.2.2 MariaDB的安装

　192 5.2.3 PHP的安装

　195 5.2.4 nginx的安装

　204 5.2.5 LNMP的安全升级和加固

　211 第6章 服务器端的应用安全防护

　211 6.1 针对SQL注入漏洞的安全防护

　212 6.1.1 SQL注入漏洞示例

　216 6.1.2 针对SQL注入漏洞的前端安全防护

　219 6.1.3 针对SQL注入漏洞的服务器端安全防护

　223 6.2 针对上传文件的安全防护

　223 6.2.1 上传文件的信息获取

　225 6.2.2 针对上传文件的前端安全防护

　232 6.2.3　针对上传文件的服务器端安全防护