我正在努力将我们公司的各种信息系统整合到一个基于 Web 的应用程序中。不小的壮举，但随着时间的推移，我们将逐步推出和改进。
该应用程序分为两个区域 - 一个仅限员工的门户，用于 Intranet，以及一个供客户访问的公共门户。
我创建这个没有问题，但我不确定如何去托管它。安全是我最大的担忧。鉴于我们的数据库将托管敏感信息（您可以确定我将加密和散列所有重要的东西以及所有常见的 XSS/CSRF/SQL 注入）
我是否在同一台服务器上同时运行应用程序和数据库？我是否在内部运行内部东西以保证其安全，并让公共系统通过 Web API 进行调用？
在这种情况下，可维护性、安全性和性能的最佳平衡是什么？
像这样的系统通常具有复杂的设置。您的员工门户应位于公司网络内的计算机上，并且不应从公共网络访问。
当然，公共门户必须位于可从公共网络访问的机器上。机器应该关闭你不需要的所有东西，并且应该有一个外部防火墙阻止你不使用的网络端口 - 假设有人会试图闯入机器，并为他们提供尽可能少的尝试路径. 这台机器需要对数据库进行网络访问，但该访问路径也应该受到严格限制，以防止成功的攻击者进入您的安全网络。
数据库应该在第三台机器上，两台门户机器都可以访问，但同样，有严格的防火墙以防止尝试在没有门户代码的情况下访问数据库。
1.根据关注点划分您的应用程序
2.使应用程序尽可能独立
3.提供所有应用程序的接口，实施访问管理系统并根据您的组织决策提供访问权限（从长远来看，这将有所帮助）