initial vault sync

00 附件/1. 软件行业工程信息安全的隐患、原因及解决办法.md

@@ -0,0 +1,23 @@
+工程信息管理安全问题
+
+### 1. 软件行业工程信息安全的隐患、原因及解决办法
+
+以下结合实际案例，针对开发到运维各环节的典型隐患展开说明：
+
+| 隐患类型       | 具体案例                                                     | 存在原因                                                     | 解决办法                                                     |
+| -------------- | ------------------------------------------------------------ | ------------------------------------------------------------ | ------------------------------------------------------------ |
+| 代码注入漏洞   | 登录时简单拼接SQL方式验证用户名密码，则输入特殊语句绕过验证可直接登录系统 | 开发者编码规范意识不足，为图便捷简化代码逻辑，未做输入过滤   | 采用参数化查询，用SonarQube等工具做静态代码扫描，拦截高危代码 |
+| 第三方组件漏洞 | [Cloudflare严重宕机事故，导致全球半个互联网瘫痪！](https://blog.csdn.net/qq_41603102/article/details/155240625) | 疏于管理第三方依赖，未定期排查组件安全状态                   | 用OWASP Dependency - Check定期扫描依赖包，及时升级高危漏洞版本组件 |
+| 权限管控不严   | 用户看到超过自己权限的数据                                   | 测试仅关注功能正常场景，未开展越权测试，权限校验逻辑设计简陋 | 实施灰盒测试，覆盖水平越权和垂直越权场景，按最小权限原则分配账户权限 |
+| 配置失误泄露   | 误将账号密码等配置文件放Web根目录，被搜索引擎抓取            | 运维人员安全意识薄弱，缺乏统一的部署配置规范                 | 建立配置基线，删除默认账号、禁用不必要的HTTP方法，禁用生产环境DEBUG模式 |
+| 数据泄露       | 客户测试数据未加密且通过微信、邮箱等传输                     | 忽视信息安全问题，未建立数据管理机制                         | 对客户数据进行统一管理，使用内网环境传输数据且进行加密       |
+
+### 2. 软件工程全生命周期信息管理各环节常见问题
+
+软件工程全生命周期通常涵盖需求分析、设计、编码、测试、部署运维等环节，各环节信息管理常见问题如下：
+
+1. **需求分析阶段**：需求文档模糊，未明确异常场景和边界条件，比如支付接口未定义重复支付的处理规则，导致用户重复点击多次扣款；同时易出现需求传递偏差，开发团队与业务方沟通不足，致使理解的需求与实际需求不符。
+2. **设计阶段**：架构设计不合理，如未考虑高并发场景引发系统卡顿，或未设计数据备份机制存在单点故障风险；接口设计缺乏统一标准，后续各模块对接时出现信息交互混乱，且设计文档未同步更新，导致后续开发无准确参考。
+3. **编码阶段**：代码规范性差，存在空指针异常、数组越界等问题，如用SimpleDateFormat引发线程安全问题导致时间解析错误；此外依赖管理混乱，第三方接口调用未设置超时重试机制，且版本冲突易引发类加载异常。
+4. **测试阶段**：测试覆盖不全面，未覆盖网络延迟、大流量等极端场景；测试环境与生产环境配置差异大，如数据库字符集不同，导致测试通过的功能上线后出现异常；同时测试用例和测试报告等信息记录不全，故障追溯困难。
+5. **部署运维阶段**：部署文档缺失或错误，导致部署出现异常；配置信息混乱，如生产环境误用测试环境配置；监控告警机制不完善，未监控Redis内存使用率等核心指标，缓存击穿引发数据库雪崩；且日志管理不当，DEBUG日志导致磁盘爆满，或日志缺失难以排查故障。