naming-conventions - 站点管理区域 URL 的安全名称？

Question

主要针对 Web 开发人员的问题。

当您开发 Web 应用程序并为其添加管理区域时，您如何命名它？将其保留为“管理员”有点过时且不安全。

请注意分享任何其他名词、动词、形容词或诸如此类的东西，它们包含您知道/可以想到的任何网站的标题。

score 15 · Accepted Answer

如果你有真正的安全保护管理区域，那么你怎么称呼它都无关紧要。通过默默无闻的安全是一个坏主意。

score 4 · Accepted Answer

4

默默无闻的安全是虚假的安全。

我打电话给我的/HackTheSiteHere。

于 2008-12-07T18:35:24.370 回答

score 1 · Accepted Answer

1

我喜欢用“超级”

于 2008-12-06T00:07:29.770 回答

score 1 · Accepted Answer

有时我使用 /controlpanel/ 或类似的东西，有时使用 /admin/ 或 /_admin/，使用难以猜测的东西并没有什么坏处，但你的安全性不应该以任何方式依赖于此。

默默无闻的一点安全性至少可以阻止一些攻击，但是用不了多久，中途的攻击者就可以找出它在哪里，更不用说心怀不满的前雇员因素等了。充其量它会只阻止最初不应该成为问题的攻击者。

score 0 · Accepted Answer

我不会使用 /admin/ 因为它太明显了，但我真的不明白为什么你称之为它很重要。

不过，我要做的一件事是确保它可以通过更改一个配置变量随时更改该 url。

我宁愿不让人们知道我使用什么，因为当您甚至不知道后端区域在哪里时，访问后端区域要困难得多:)

score 0 · Accepted Answer

我称我的管理员为管理员，因为我通常将文件夹映射到应用程序中的各种用户角色。我意识到这并不晦涩，但是该文件夹（以及与此相关的页面背后的代码）已正确锁定，因此匿名用户或未经适当授权的用户无法查看它们。

score 0 · Accepted Answer

0

我坚持使用管理员。为什么会不安全？无论如何，我对用户进行身份验证。

于 2008-12-07T18:07:12.600 回答

score 0 · Accepted Answer

我将管理页面与普通用户页面放在同一目录中。如果他们猜测 URL，那又怎样？他们只是收到拒绝访问消息并浪费时间，因为无论如何它都是开源的。

score 0 · Accepted Answer

除了主站点之外，我根本不希望维护一个单独的管理区域。我宁愿根据登录用户的角色/级别和 ACL 显示不同的选项和可用操作。

是的，通过默默无闻的安全是一个坏主意！

9 回答 9