分布式系统下的认证与授权

在软件系统设计中,如何让应用能够在各种环境中安全高效的访问是个复杂的问题,这个问题的背后是一系列软件设计时需要考虑的架构安全问题:架构安全性 | 凤凰架构 认证:系统如何识别合法用户,也就是解决 你是谁 的问题; 授权:系统在识别合法用户后,还需要解决 你能做什么 [阅读更多]
在软件系统设计中,如何让应用能够在各种环境中安全高效的访问是个复杂的问题,这个问题的背后是一系列软件设计时需要考虑的架构安全问题:架构安全性 | 凤凰架构 认证:系统如何识别合法用户,也就是解决 你是谁 的问题; 授权:系统在识别合法用户后,还需要解决 你能做什么 [阅读更多]
多年以后,面对加班的夜晚,Volkan Yazıcı 一定会回忆起发生在 2021 年底的这件事情,除了没日没夜的工作和无休止的解释以外,当然也少不了人们的愤怒和对他的谩骂。一不小心就见证历史的,除了 log4j [阅读更多]
在现代软件开发中, 我们会使用一些公共镜像作为基础镜像来快速构建我们的应用镜像,并将其部署到生产环境中。 随着越来越多的应用程序被容器化,容器安全也随之变得越来越重要。在项目的 流水线 中, 我们可以使用漏洞扫描器进行扫描并提前获得反馈,实现 “安全左移” [阅读更多]
数字身份是打开数字世界里信任大门的钥匙,我们不能丢失对于它的掌管权利,就如同我们不能把钥匙交给陌生人保管一样。 我们的信任 前段时间,我读过一本书《我们的信任:为什么有时信任,有时不信任》(Liars and [阅读更多]
最近在GitHub 上发现一个有意思的功能:如果一个提交被作者签名了,并且签名可被验证的话,提交上会显示一个绿色的Verified的标志。如下图所示: [阅读更多]
在证书验证、基于JWT(Json Web Token)的身份认证、IDP(身份提供商)、SP(服务提供商)等技术中,都有一个可信的第三方,可明明是用户对资源或者服务的访问,为啥还要个第三方? 这篇文章整理了一些相关技术的案例,并尝试分析其这样设计的原因。 经典案例 01 [阅读更多]
对于一个软件开发团队,可以通过哪些代码质量指标和扫描方法让团队产出规范、安全、高质量的代码?让开发团队运行的安全、透明、可靠?本文总结了其中一些实践和工具,包含常见代码质量扫描工具、代码质量指标、第三方依赖管理、安全运维等几个方面,主要适用于 Java/JavaScript [阅读更多]
这是个什么漏洞 最近(2020年2月20日)Apache Tomcat爆出一个高危的服务器文件包含漏洞(CVE-2020-1938),据国家信息安全漏洞共享平台上的漏洞描述来看,攻击者可以利用这个漏洞读取或包含 Tomcat 上所有 webapp [阅读更多]