22 | [视频]从一个安全漏洞说起，探寻API性能和安全的平衡
温铭
该思维导图由 AI 生成，仅供参考
00:00 / 00:00
1.0x
- 2.0x
- 1.5x
- 1.25x
- 1.0x
- 0.75x
- 0.5x
你好，我是温铭。
今天的内容，我同样会以视频的形式来讲解。老规矩，在你进行视频学习之前，我想先问你这么几个问题：
你在使用 OpenResty 的时候，是否注意到有 API 存在安全隐患呢？
在安全和性能之间，如何去平衡它们的关系呢？
这几个问题，也是今天视频课要解决的核心内容，希望你可以先自己思考一下，并带着问题来学习今天的视频内容。
同时，我会给出相应的文字介绍，方便你在听完视频内容后，及时总结与复习。下面是今天这节课的文字介绍部分。
今日核心
安全，是一个永恒的话题，不管你是写开发业务代码，还是做底层的架构，都离不开安全方面的考虑。
CVE-2018-9230 是与 OpenResty 相关的一个安全漏洞，但它并非 OpenResty 自身的安全漏洞。这听起来是不是有些拗口呢？没关系，接下来让我们具体看下，攻击者是如何构造请求的。
OpenResty 中的 ngx.req.get_uri_args、ngx.req.get_post_args 和 ngx.req.get_headers接口，默认只返回前 100 个参数。如果 WAF 的开发者没有注意到这个细节，就会被参数溢出的方式攻击。攻击者可以填入 100 个无用参数，把 payload 放在第 101 个参数中，借此绕过 WAF 的检测。
公开
同步至部落
取消
完成
0/2000
荧光笔
直线
曲线笔记
复制
AI
- 深入了解
- 翻译
- 解释
- 总结
本文通过讲解一个安全漏洞，探讨了在API性能和安全之间的平衡。作者首先提出了一些问题，引导读者思考，然后详细介绍了与OpenResty相关的安全漏洞CVE-2018-9230的攻击方式和解决方法。文章强调了安全在开发业务代码和底层架构中的重要性，并指出安全是一种平衡，需要考虑向下兼容、不引入更多安全风险和不影响性能等因素。最终，OpenResty维护者选择新增一个err的返回值来解决这个问题，强调了安全与性能之间的平衡选择。文章还提到了课件已上传到GitHub，鼓励读者下载学习，并欢迎在留言区提问和分享学习心得。整体而言，本文通过具体案例和技术讨论，引发了读者对API安全和性能平衡的思考，为读者提供了一些实用的技术参考和学习资源。
仅可试看部分内容，如需阅读全部内容，请付费购买文章所属专栏
《OpenResty 从入门到实战》，新⼈⾸单¥59
《OpenResty 从入门到实战》，新⼈⾸单¥59
立即购买
© 版权归极客邦科技所有，未经许可不得传播售卖。 页面已增加防盗追踪，如有侵权极客邦将依法追究其法律责任。
登录 后留言
全部留言(2)
- 最新
- 精选
- mz老师可以推荐几个可用的开源 WAF 防火墙吗？
作者回复: 推荐 https://github.com/starjun/openstar，因为我见过作者，其他的不太熟悉
2019-07-1621 
wusiration老师，能推荐几个有代表性的CVE问题吗？想研究一下作者回复: 这方面我就不是专家了，可以看看freebuf
2019-07-15
收起评论
