Общее по Computer Science и Web Development

Веб-разработка

Что такое CGI? Плюсы, минусы?
Common Gateway Interface. Соглашение о том, как веб-сервер взаимодействует с программой, написанной на каком-то языке. Веб-сервер запускает программу как исполняемый файл. Параметры запроса, например, метод, путь, заголовки и т.д. передаются через переменные окружения.
Программа должна прочитать эти переменные и записать в стандартный поток вывода HTTP-ответ.
Плюсы:

• 
  Протокол не накладывает условия на язык, на котором написана программа. Это может быть и скрипт, и бинарный файл.
  
• 
  Протокол экстремально прост.
  
• 
  Программа не хранит состояние, что удобно для отладки.
  

Минусы:

• 
  Запуск процесса ОС на каждый запрос отрабатывает очень медленно.
  
• 
  Передача данных через stdout медленней юникс-сокетов.
  

Что такое CSRF?
Сross Site Request Forgery (межсайтовая подделка запроса). Вид уязвимости, когда сайт А вынуждает пользователя выполнить запрос на сайт Б. Это может быть тег img или script для GET-запроса, или форма со специальным атрибутом target.
Чтобы предотвратить уязвимость, сайт Б должен убедиться, что запрос пришел именно с его страницы.
Например, пользователь должен заполнить форму. В нее помещают скрытое поле token – одноразовую последовательность символов. Этот же токен сохраняют в куки пользователя. При отправке формы поле и куки должны совпасть. Способ не является надежным и обходится скриптом.
Как защитить куки от воровства и от подделки?
Зависит от того, насколько строгие критерии безопасности на сайте. Если в куках хранятся вспомогательные данные, например, индекс последнего выбранного в дропдауне элемента, правилами ниже можно пренебречь.
Для платежных систем, сайтов с приватными данными приведенные правила обязательны.

• 
  Выставлять кукам флаг httponly. Браузер не даст прочесть и изменить такие куки на клиенте Джаваскриптом.
  
• 
  Использовать флаг secure. Куки будут переданы только по безопасному соединению.
  
• 
  Устанавливать короткий срок жизни куки.
  
• 
  Устанавливать короткий срок сессии на сервере.
  
• 
  Добавлять в ключ сессии заголовок User-Agent. Тогда если украсть куки и установить на другой машине, ключ сессии будет другим.
  
• 
  Аналогично пункту выше, но добавлять IP пользователя.
  
• 
  Подписывать куки секретным ключом. Добавлять поле sig, которое равно HMAC-SHA1(cookie-body, secret_key). На сервере проверять, что подпись совпадает.