全面杜絕DDoS、XSS、CSRF與SQL注入攻擊，打造無(wú)懈可擊的跨境獨(dú)立站

2核4G內(nèi)存的配置，一般就可以搭建一個(gè)magento，woocommerce等開源商城正常運(yùn)行，fecify跨境獨(dú)立站為什么可以跑saas？這個(gè)配置就可以開幾十個(gè)獨(dú)立站呢？因?yàn)?/span>fecify并不是一個(gè)單純的電商系統(tǒng)，而是一套的完整的安全解決方案。

系統(tǒng)支持全面防御DDOS、XSS、SQL注入及IP攻擊，守護(hù)您的fecify跨境saas獨(dú)立站。

sql注入攻擊，原理就是商城系統(tǒng)的sql使用了字符串拼接，將用戶提交的信息直接拼接到sql，如果用戶提交的數(shù)據(jù)是一段可以執(zhí)行的sql，拼接后將會(huì)被執(zhí)行，進(jìn)入導(dǎo)致sql注入攻擊。

?fecify跨境獨(dú)立站系統(tǒng)，系統(tǒng)所有的sql都是通過框架封裝對(duì)象操作，杜絕任何的sql注入攻擊。

CSRF（Cross-site request forgery）跨站請(qǐng)求偽造，也被稱為“One Click Attack”或者Session Riding，通常縮寫為CSRF或者XSRF，是一種對(duì)網(wǎng)站的惡意利用。

通俗的講解：身邊比較常見的，譬如，讓你登陸了網(wǎng)站賬戶（地址為：www.a.com，） ，然后別人給你發(fā)了一個(gè)連接www.b.com/xxxx ，如果你點(diǎn)擊了，那么你的賬戶里面的積分，或者其他的一些東西可能被操作。在零幾年沒有U盾的那個(gè)年代，就發(fā)生過點(diǎn)開某個(gè)鏈接導(dǎo)致網(wǎng)銀的錢被轉(zhuǎn)走的情況，就是CSRF攻擊。

fecify跨境獨(dú)立站使用的是token機(jī)制，而不是session，token機(jī)制徹底杜絕CSRF的攻擊。

跨站腳本攻擊（XSS），攻擊者嵌入惡意腳本代碼到正常用戶會(huì)訪問到的頁(yè)面中，當(dāng)正常用戶訪問該頁(yè)面時(shí)，則可導(dǎo)致嵌入的惡意腳本代碼的執(zhí)行，從而達(dá)到惡意攻擊用戶的目的。

譬如：用戶在contacts頁(yè)面的內(nèi)容部分，提交了一段可執(zhí)行的js代碼，后臺(tái)管理員查看contacts的內(nèi)容，這段js代碼被直接運(yùn)行，進(jìn)而竊取了后臺(tái)的session，攻擊者拿到session后即可登錄管理后臺(tái)。

fecify的前端是vue實(shí)現(xiàn)的，默認(rèn)情況下都會(huì)對(duì)前臺(tái)的內(nèi)容都進(jìn)行了HTML轉(zhuǎn)義，因此不會(huì)存在執(zhí)行用戶提交的js的問題，徹底杜絕XSS攻擊。

分布式拒絕服務(wù)攻擊(英文意思是Distributed Denial of Service，簡(jiǎn)稱DDoS)是指處于不同位置的多個(gè)攻擊者同時(shí)向一個(gè)或數(shù)個(gè)目標(biāo)發(fā)動(dòng)攻擊，或者一個(gè)攻擊者控制了位于不同位置的多臺(tái)機(jī)器并利用這些機(jī)器對(duì)受害者同時(shí)實(shí)施攻擊。由于攻擊的發(fā)出點(diǎn)是分布在不同地方的，這類攻擊稱為分布式拒絕服務(wù)攻擊，其中的攻擊者可以有多個(gè)。ddos攻擊都有大量肉機(jī)，自己做防護(hù)幾乎是無(wú)法解決的。

fecify跨境獨(dú)立站是通過cloudflare進(jìn)行解決了，通過套上CF，前面加了一層代理層，通過CF將這部分攻擊擋掉，cloudflare以抗DDOS攻擊而聞名，套上CF的網(wǎng)站基本是打不死的。

攻擊者繞過域名，直接攻擊服務(wù)器的IP，進(jìn)而導(dǎo)致服務(wù)器癱瘓。

針對(duì)這種攻擊方式fecify跨境獨(dú)立站，在套上cloudflare后，在服務(wù)器做上IP訪問限制，只允許cloudflare的IP訪問服務(wù)器，對(duì)于其他的訪問IP直接屏蔽，進(jìn)而保護(hù)服務(wù)器杜絕IP攻擊。

對(duì)于商城的數(shù)據(jù)請(qǐng)求，有查詢get請(qǐng)求，譬如商品詳情頁(yè)內(nèi)容，還有一部分是提交post請(qǐng)求，譬如注冊(cè)賬號(hào)，商品加入購(gòu)物車，創(chuàng)建定制等，這些都是前端提交數(shù)據(jù)，后端處理數(shù)據(jù)進(jìn)而更新數(shù)據(jù)庫(kù)的過程。

fecify通過cloudflare的WAF機(jī)制，對(duì)于單IP請(qǐng)求在某段時(shí)間內(nèi)請(qǐng)求超過最大次數(shù)（譬如：10秒內(nèi)進(jìn)行100次請(qǐng)求），則自動(dòng)將其屏蔽。

???