常见Web漏洞释义
网站挂马攻击：攻击者利用Iframe标签在脚本中嵌入隐藏的恶意网站，用户访问网站时，将被定向到恶意网站，或遭受恶意网站弹窗等。身份盗用：XSS攻击通过盗取用户的 Cookie，从而利用该Cookie盗取用户对该网站的操作权限。如果攻击者通过XSS...
Web服务端漏洞类型
由于在设计程序时，忽略了对输入字符串中夹带的SQL指令的检查，被数据库误认为是正常的SQL指令而运行，进而使数据库受到攻击，可能导致数据被窃取、更改、删除，甚至执行系统命令，以及进一步导致网站被嵌入恶意代码、被植入后门程序等危害...
什么是应用防护
它可以通过在Web表单中输入SQL语句，得到存在安全漏洞的网站上的数据。SQL注入是由拼接SQL语句引起的。请尽可能使用预编译来处理传入的参数，或通过白名单和黑名单来限制参数的拼接。XXE 指XML外部实体注入漏洞（XML External Entity ...
云虚拟主机被黑客入侵导致网站无法访问的处理方法
问题描述 阿里云云虚拟主机被黑客入侵，导致部署到云虚拟主机中的网站代码被恶意修改，网站无法正常访问。云虚拟主机通常被黑客入侵有以下两种方式：通过FTP或数据库方式直接入侵修改。通过Web程序漏洞进行数据注入。解决方案 当您的云虚拟...
使用Nginx或.htaccess文件以及ASP屏蔽IP地址访问
背景信息 为了提高云虚拟主机上的网站安全性，防止恶意IP地址访问网站、防止非法盗链和恶意采集网站资源的情况造成资源占用、访问延迟或网站无法访问等问题，您可以设置网站的指定访问权限。不同类型云虚拟主机采用不同屏蔽IP地址的方法，...
防御挂马攻击最佳实践
在业务代码上线前，进行代码安全测试、白盒代码审计等工作，并在修复已发现漏洞后，再上线发布，防止业务代码上线后黑客利用存在的漏洞入侵业务系统。业务系统上线前或上线后，使用 云安全中心漏洞管理服务 定期对网站和Web业务系统进行...
UDF（嵌入式）
本文为您介绍如何通过代码嵌入式UDF（Embedded UDF）将Java或Python代码嵌入SQL脚本。背景信息 您可以通过MaxCompute的代码嵌入式UDF解决以下代码实现过程繁琐，且不方便阅读和维护的问题：创建UDF并完成代码开发后，您还需要完成代码编译...
基本概念
类安全加固 对 Java 代码进行混淆，隐藏真实运行流程，防止 jadx-gui、jeb 工具的反编译，使加固后的代码难以被人工直接阅读。留存率 留存率是用于反映网站、互联网应用或网络游戏的运营情况的统计指标，其具体含义为在统计周期（周/月）内...
检测攻击类型说明和防护建议
XSS 跨站脚本攻击是指恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。XSS漏洞本质上是一种HTML注入，也就是将HTML代码注入到网页中。那么其防御的根本...
如何实现OAuth登录
OAuth是一种授权框架，用于向第三方应用程序提供访问资源的安全方法，此方法不需要向第三方应用程序提供用户名和密码。OAuth基础原理 OAuth主要分为三个角色：客户端、授权服务器、资源服务器。角色 说明 客户端（Client）需要访问资源的...
云虚拟主机安全性说明
支持设置SSL证书：SSL证书用于在网页和浏览器之间建立安全的加密连接，确保数据在传输过程中的安全性，从而保护您的网站能够安全访问。木马查杀：木马查杀是保障云虚拟主机安全的重要措施之一，包括实时监控、定期扫描、恶意代码查杀等功能...
代码嵌入
CNZZ 使用友盟统计，需获取友盟网站统计代码，单击 设置>数据，将代码粘贴至数据中。设置第三方视频控件 选中视频控件，单击 设置，在快速设置面板中，可设置视频控件的数据、动效、排列 数据：可输入优酷、腾讯、爱奇艺、Youtube等视频的...
迁移Function Studio代码至云效服务平台
代码嵌入式UDF支持将Java或Python代码嵌入SQL脚本，Janino-compiler编译器会识别并提取嵌入的代码，并完成代码编译、动态生成资源及创建临时函数。解决代码实现过程繁琐，且不方便阅读及维护的问题。UDF（嵌入式）MaxCompute脚本模式 通过...
云虚拟主机中屏蔽指定IP地址的方法
通过.htaccess文件屏蔽 使用FTP连接云虚拟主机，详情请参见 如何上传网站程序。通过配置 htdocs 目录下的.htaccess 文件屏蔽指定IP地址，需要配置的代码如下。更多关于.htaccess 文件的配置策略请参见 如何使用Apache的.htaccess文件限制IP...
UDT示例
例如Java数组、JSON、复杂类型、聚合操作、表值函数、函数重载和引用嵌入式代码。说明 请您在脚本模式下运行如下示例代码，脚本模式详情请参见 SQL脚本模式。Java数组 set odps.sql.type.system.odps2=true;set odps.sql.udt.display....
控制台内嵌及分享
您可以通过在CSP指令中添加特定的域名或通配符来允许特定的网站嵌入。例如，可以使用以下CSP指令允许来自 aliyun.com 和*.aliyun.com 的网站嵌入：Content-Security-Policy:frame-ancestors 'self' aliyun.com *.aliyun.com;如果要允许所有...
修改内容
代码嵌入 留言评论 留言、评论可收集用户信息。留言评论 分享 可将网站分享到各个平台。分享 分类控件 可分类展示文章/产品。分类搜索 搜索控件 可搜索网站内的文章/产品。分类搜索 结果页相关控件（文章分类结果列表、文章分类面包屑、...
检测OSS存储的图片是否嵌入恶意内容
类型二：嵌入播放器代码 黑产通过图片中注入JS将违规视频文件上传到OSS或者CDN，再通过色情赌博等网站渠道传播URL，当用户访问该URL时，视频播放器根据JS判断出的浏览器类型，来决定显示的内容。这些图片往往在移动端和PC端显示的内容不...
AK和账密防泄漏最佳实践
补充安全建议 除了上述云安全中心提供的AK泄露检测和响应措施外，建议您在使用阿里云产品过程中遵循以下几点安全规范，降低凭证泄漏造成的影响：不要将 AccessKey 嵌入代码中 嵌入代码中的AK凭证容易被人忽视，经验丰富的开发者会将其写入...
发布渠道
Quick BI支持多渠道嵌入报表。本文以Quick Audience为例介绍如何将Quick BI中的仪表板嵌入到Quick Audience中。步骤1：配置嵌入渠道 仅Quick BI管理员需要进行嵌入渠道配置，否则不能进行后续操作。登录 Quick BI控制台。在Quick BI产品...
设备服务调用错误
1.问题背景&现象 1.1 问题背景 IoT 设备都是智能化设备，也就是设备里面会嵌入代码，并提供HTTP 或者RPC服务；设备联网之后被被调用，设备收到请求之后会按照代码来控制设备做响应的工作。所以设备提供的服务在调用时也可能会出错,设备日志...
新版合并请求
因为评审往往存在多轮，即“循环迭代”的过程，通过一次代码评审的核心流程图，可以比较清楚地了解：对于某一次Patch的评审，新版合并请求不仅仅会留下代码补丁对应的提交信息，还会衍生出其他一系列信息：文件改动（代码Diff）。...
防盗链
使用场景 禁止未经授权的使用：保护图片、视频、音频等敏感或有版权的文件不被未经授权的网站下载或访问。节省带宽和资源消耗：通过防止盗链，避免其他网站直接链接到自己的资源文件，减少了非法访问带来的带宽消耗和服务器资源压力。付费...
使用iframe嵌入第三方系统
本文将指导您如何通过iframe将Dataphin嵌入第三方系统。前提条件 第三方系统与Dataphin已完成SSO互通。更多信息，请参见 Dataphin基于客户第三方SSO登录认证。使用限制 因浏览器的安全策略，在非可信证书下会阻止iframe页面加载，Dataphin...
网站应用安全防护
本文旨在介绍云·品牌官网的网站应用安全防护内容。A.MD5数据加密：系统针对部分重要数据采用MD5加密技术进行加密存储。B.错误信息拦截：采用统一的出错提示页面，使攻击无法获取实际的出错信息。C.前后台分离：对后台建立单独管理体系，...
报表嵌入的基础方案
Quick BI支持将群空间中的报表（仪表板、电子表格）嵌入到其他系统中，以便和其他应用系统集成，更便捷实现业务一体化应用。下面为您介绍如何将报表嵌入到第三方系统中，本文适用于高级版和专业版。使用限制 基础版方案仅支持仪表板和电子...
防盗链
您可以使用Ruby SDK在OSS中配置基于请求标头Referer的访问规则，包括白名单Referer、黑名单Referer以及是否允许空Referer等，阻止某些Referer访问您的OSS文件，防止其他网站盗用您的文件，并避免由此引起的不必要的流量费用增加。...
防盗链
您可以使用Node.js SDK在OSS中配置基于请求标头Referer的访问规则，包括白名单Referer、黑名单Referer以及是否允许空Referer等，阻止某些Referer访问您的OSS文件，防止其他网站盗用您的文件，并避免由此引起的不必要的流量费用增加。...
全量扫描和增量扫描
Flow 支持代码全量扫描和增量扫描，可以根据需要，选择合适的扫描方式进行使用。1）代码规约全量扫描，通过飞流的扫描任务对指定的代码工程进行编码规约全量检测。优点：支持跨文件引用，代码扫描全面。缺点：但扫描速度较慢，问题量会比较...
百度统计
如您的网站需要统计分析的工具，可使用百度统计功能，本文介绍百度统计的使用方法。获取百度统计代码：获取步骤请参见 百度统计。使用百度统计：单击 网站管理>百度统计，将已获取的代码粘贴，发布网站即可生效。说明 除了百度统计外，还可...
报表嵌入数据权限控制和传参的安全增强方案
本文将为您介绍如何使用Ticket报表嵌入方案免登嵌入到第三方系统，同时可控制嵌入至第三方系统的Quick BI报表权限，以及如何通过票据管理有效防止链接被恶意分享数据泄露的问题。本文适用于专业版。背景信息 Quick BI全新推出了安全增强的...
阿里巴巴代码规约检测
代码扫描支持-全量扫描和增量扫描 阿里巴巴代码规约检测全量扫描通过RDC对Java代码工程进行编码规约全量检测优点：支持跨文件引用，代码扫描全面缺点：但扫描速度较慢，问题量会比较多 阿里巴巴代码规约检测增量扫描是基于代码的一次push，...
Android
可选：配置防止代码混淆。在 proguard-rules.pro 文件中，添加-keep 类的配置，可以防止混淆RTC SDK公共类名称。keep class com.serenegiant.*{*;}-keep class org.webrtc.*{*;}-keep class com.alivc.*{*;} 方法二：手动集成 下载并解压...
配置访问凭证
代码嵌入 警告 在代码中嵌入访问凭证会导致安全问题。如果访问凭证被泄漏，攻击者就可以使用该访问凭证来访问您的资源OSS，造成损失。因此，建议您使用更安全的方式，例如从环境变量中获取访问凭证，来提高安全性。STS临时访问密钥...
Android
可选：配置防止代码混淆。在 proguard-rules.pro 文件中，添加-keep 类的配置，可以防止混淆RTC SDK公共类名称。keep class org.webrtc.*{*;}-keep class com.ding.rtc.*{*;} 方法二：手动集成 下载并解压Android SDK，下载地址，请参见 ...
添加公安备案号
依据《计算机信息网络国际联网安全保护管理办法》相关规定，各网站在工信部备案成功后，需在网站开通之日起30日内提交公安联网备案申请，阿里云会邮箱提醒需添加公安备案号的网站。本文介绍如何添加公安备案号。背景信息 登录 全国公安机关...
添加公安备案号
依据《计算机信息网络国际联网安全保护管理办法》相关规定，各网站在工信部备案成功后，需在网站开通之日起30日内提交公安联网备案申请，阿里云会邮箱提醒需添加公安备案号的网站。本文介绍如何添加公安备案号。背景信息 登录 全国公安机关...
MaxCompute UDF概述
UDF（User-Defined Function）即自定义函数，当MaxCompute提供的内建函数无法支撑您的业务实现时，您可以根据本文中的开发流程及使用示例，自行编写代码逻辑创建自定义函数，以满足多样化业务需求。背景信息 广义的UDF定义是 自定义标量...
开发ODPS Script任务
嵌入式UDF开发 此外，您也可以通过将J ava或Python代码嵌入SQL脚本的方式，使用MaxCompute脚本模式实现代码嵌入式UDF（Embedded UDF）开发，详情 请参见 UDF（嵌入式）。后续步骤 当您完成当前节点的任务开发后，通常您可进行以下操作。...
开发ODPS Script任务
嵌入式UDF开发 此外，您也可以通过将J ava或Python代码嵌入SQL脚本的方式，使用MaxCompute脚本模式实现代码嵌入式UDF（Embedded UDF）开发，详情 请参见 UDF（嵌入式）。后续步骤 当您完成当前节点的任务开发后，通常您可进行以下操作。...
- 产品推荐
- 这些文档可能帮助您