开发一个安全的网站
我正在开发一个网站，允许用户查看/输入他们的银行、信用卡和其他“敏感”信息。
我知道我必须使用 HTTPS 进行通信，但除此之外，我不确定还需要做什么。
理想情况下，我希望对客户端和服务器之间发送的数据进行加密，但我不知道这是否已经通过使用 HTTPs 协议完成。
关于如何获取有关开发此类 Web 应用程序的最佳实践的更多信息，您有什么想法吗？
附加信息：我将使用 LAMP 堆栈开发/部署此网站。
I am developing a website that allows a user to view/enter their banking, credit card and other 'sensitive' information.
I am aware that I have to use HTTPS for communication, but over and above that, I am not sure on what else needs to be done.
I would ideally like to encrypt data sent between the client and the server, but I don't know if this is already done by using the HTTPs protocol.
Any ideas on where to get additional information on best practices for developing such a web application?
Additional info: I will be developing/deploying this website using a LAMP stack.
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（2）
检查您是否需要从头开始开发所有内容，或者是否可以在现有的可信商店或框架的基础上进行构建。从头开始做时，有很多部分可能会以错误的方式进行（加密、会话管理、支付……）。
您想要处理的数据越重要，存在的要求就越多（请参见例如http://www.pcicomplianceguide.org< /a>，特别是 http://www.pcicomplianceguide.org/ security-tips-20081030-web-application-security.php）。您可能需要与法律专家交谈，因为这在很大程度上取决于“什么数据”以及您如何在工作流程中处理它们。
看看http://www.owasp.org/index.php/类别：OWASP_Guide_Project - 开放 Web 应用程序安全项目 (OWASP)，提供有关 Web 安全重要方面的大量提示。
我不太愿意推荐像 http://oreilly.com/catalog/9780596006709 这样的书籍 - 但你会的可能拥有自己的服务器而不依赖于共享托管环境，因此您也必须强化自己的服务器环境。 SSL 还不够。您必须处理文件权限、认证管理、操作系统更新等。
Check whether you need to develop everything from scratch or if you can build upon an existing trusted shop or framework. There are so many parts one can do the wrong way (encryption, session management, payment, ...) when doing it from scratch.
The more important the data you want to handle the more requirements exist (see e.g. http://www.pcicomplianceguide.org, especially http://www.pcicomplianceguide.org/security-tips-20081030-web-application-security.php). You might have to talk with legal experts because it depends heavily on "what data" and how you process them in your workflow.
Take a look at http://www.owasp.org/index.php/Category:OWASP_Guide_Project - the The Open Web Application Security Project (OWASP) with lots of hints about important aspects of web security.
I hesitate recommending books like http://oreilly.com/catalog/9780596006709 - but you will probably own your own server and not rely on a shared hosting environment, so you'll have to harden your own server environment, too. SSL is not enough. You have to take care of file permissions, certification management, operating system updates etc.
让您的整个设置、代码、存储、公司获得值得信赖的权威机构的认证，并让您的认证事实在您的网站上可见且可验证。
Get your whole setup, code, storage, company certified by a trustworthy authority and make the fact that you're certified visible and verifyable on your site.