IT评测·应用市场-qidao123.com

标题: JAVA编码规范：安全规约、mysql数据库_java后端的sql编码规范 [打印本页]
作者: 悠扬随风    时间: 2024-10-2 05:26
标题: JAVA编码规范：安全规约、mysql数据库_java后端的sql编码规范
阐明:防止没有做水平权限校验就可随意访问、修改、删除别人的数据，比如检察他人的私信内容、修改他人的订单。
前端后端最好都校验。修改信息的接口，假如直接暴露接口是不安全的，接口校验调用者是不是被修改对象的拥有者。后台的敏感接口。(权限、脚色)
2、【强制】用户敏感数据禁止直接展示，必须对展示数据举行脱敏。

阐明:中国大陆个人手机号码显示为:1370969，隐藏中心4位，防止隐私泄露。
1.view层的展示一定要加密
2.数据库的数据明文(未加密)
3、【强制】用户输入的 SQL参数严格利用参数绑定或者 METADATA字段值限定，防止 SQL注入，禁止字符串拼接 SQL访问数据库。

Java的技术栈里，mybatis框架有防止依赖注入的措施。#代表先编译后引用，美元符号代表直接拼接sql。开发职员千万不要做字符串连接SQL。(少用或不消$)
4、【强制】用户哀求传入的任何参数必须做有用性验证。

阐明:忽略参数校验可能导致:
阐明:Java 代码用正则来验证客户端的输入，有些正则写法验证普通用户输入没有问题，但是如果攻击职员利用的是特殊构造的字符串来验证，有可能导致死循环
的结果。ReDOS(Regular expression Denial of Service)正则表达式拒绝服务攻击。实际上开发职员利用了正则表达式来对用户输入的数据举行有用性校验，当编
写校验的正则表达式存在缺陷或者不严谨时,攻击者可以构造特殊的字符串来大量消耗服务器的系统资源，造成服务器的服务中断或停止。
5、【强制】禁止向 HTML页面输出未经安全过滤或未正确转义的用户数据。

系统的出口要堵住特殊字符，出口一般指的是web界面。同时也要包管系统的入口不要进入特殊字符，入口可能是web界面，也可能是开发的接口。
6、【强制】表单、AJAX 提交必须执行CSRF安全验证。

阐明:CSRF(Cross-site request forgery)跨站哀求伪造是一类常见编程漏洞。对于存在 CSRF 漏洞的应用/网站，攻击者可以事先构造好 URL，只要受害者用户一访
问，后台便在用户不知情的情况下对数据库中用户参数举行相应修改。
7、【强制】在利用平台资源，譬如短信、邮件、电话、下单、付出，必须实现正确的防重放的机制，如数目限制、疲劳度控制、验证码校验，

免被滥刷而导致资损。

阐明:如注册时发送验证码到手机，如果没有限制次数和频率，那么可以利用此功能骚扰到别的用户，并造成短信平台资源浪费。
mysql数据库

（一）建表规约

1、【强制】表达是与否概念的字段，必须利用is_xxx的方式定名，数据类型是 unsignedtinyint(1表示是，0 表示否)

阐明:任何字段如果为非负数，必须是 unsigned.
注意OJ0 类中的任何布尔类型的变量，都不要加is前缀，所以，需要在设置从 is xxx到 Xxx 的映
射关系。数据库表示是与否的值，利用 tinyint 类型，对峙is xxx 的定名方式是为了明确其取值寄义与取值范围。
2、【强制】表名、字段名必须利用小写字母或数字,禁止出现数字开头，禁止两个下划线中心只出现数字。数据库字段名的修改代价很大，由于无

法举行预发布，所以字段名称需要慎重考虑。

阐明:MySQL在 Windows 下不区分大小写，但在 Linux 下默认是区分大小写。因此，数据库名、表名、字段名，都不允许出现任何大写字母，制止节外生枝。正
例:aliyun_admin ,rdc_config ,level3_name
反例:AliyunAdmin ,rdcConfig ,level_3_name
在数据库里定名规约多个单词之间每个词之间用下划线分隔，全部的单词发起全小写但是某一些数据库有本身的特性，比如MySQL数据在windows里是大小写不敏
感的，在linux是大小写敏感的
在oracle数据库里比较特殊，如果表名字段名用双引号引起来一定是大小写敏感的，不加双引号是大小写不敏感的。所以小写和下划线分隔这样更好一点“aliyun_admin”
3、【强制】表名不利用复数名词。

阐明:表名应该仅仅表示表内里的实体内容，不应该表示实体数目，对应于 DO 类名也是单数情势，符合表达习惯。
由于表作为数据载体，内里复数是多条记载，而每一条记载代表一条完整数据。不发起表名复数。
4、【强制】禁用保留字，如 desc、range、match、delayed等,请参考 MySQL 官方保留字。

5、(强制】主键索引名为 pk_字段名;唯一索引名为 uk_字段名;普通索引名则为 idx_字段名_

阐明:pk_即primary key;uk 即 unique key;idx_即index 的简称。
6、【强制】小数类型为 decimal，禁止利用 float 和 double。

阐明:在存储的时间，float 和 double 都存在精度损失的问题,很可能在比较值的时间，得到不正确的结果。如果存储的数据范围超过 decimal 的范围，发起将数据
拆成整数和小数并分开存储。
7、【强制】如果存储的字符串长度几乎相称，利用 char定长字符串类型

8、【强制】varchar是可变长字符串，不预先分配存储空间，长度不要超过 5000，如果存储长度大于此值，界说字段类型为 text，独立出来一张

表，用主键来对应，制止影响别的字段索引服从。

9、【强制】表必备三字段:id,create_time,update_time.

阐明:此中 id 必为主键,类型为 bigint unsigned、单表时自增、步长为1。create_time,update_time的类型均为 datetime 类型。
数据的创建时间和数据的修改时间，分别代表这条数据什么时间创建什么时间修改;id是作为数据库一定遵守筹划范式第一范式就是必须有主键代表数据的唯一值。
10、【保举】表的定名最好是遵循“业务名称_表的作用”

正例:alipay_task/force_project/trade_config
11、【保举】库名与应用名称尽量同等。

12、【保举】如果修改字段寄义或对字段表示的状态追加时，需要实时更新字段注释。

13、【保举】字段允许适当几余，以提尚直间能，但必须考虑数据同等。

冗余字段应遵循
1)不是频仍修改的字段。
2)不是 varchar 超长字段，更不能是 text 字段。
3)不是唯一索引的字段。
正例:商品类目名称利用频率高，字段长度短，名称根本一稳定，可在相关联的表中冗余存储类目名称，制止关联查询。
14、【保举】单表行数超过 500万行或者单表容量超过 2GB，才保举举行分库分表阐明:如果预计三年后的数据量根本达不到这个级别，请不要在创建

表时就分库分表。

15、【参考】合适的字符存储长度，不光节流数据库表空间、节流索引存储，更重要的是提拔检索速度。

正例:如下表，此中无符号值可以制止误存负数，且扩大了表树模围。
（二）索引规约

1、【强制】业务上具有唯一特性的字段，即使是多个字段的组合，也必须建成唯一索引

阐明:不要以为唯一索引影响了 insert 速度，这个速度损耗可以忽略,但进步查找速度是明显的;另外即使在应用层做了非常美满的校验控制，只要没有唯一索引，根
据墨菲定律，必然有脏数据产生。
2、【强制】超过三个表禁止join。需要join 的字段，数据类型必须绝对同等;多表关联查询时，包管被关联的字段需要有索引。

阐明:即使双表join 也要注意表索引、SOL性能。
3、【强制)在 varchar字段上创建索引时，必须指定索引长度，没须要对全字段创建索引，根据 实际文本区分度决定索引长度即可。

阐明:索引的长度与区分度是一对抵牾体，一般对字符串类型数据，长度为20的索引，区分度会高达 90%以上，可以利用 count(distinct left(列名,索引长
度))/count(*)的区分度来确定。
4、【强制】页面搜刮严禁左含糊或者全含糊，如果需要请走搜刮引擎来解决

阐明:索引文件具有 B-Tree 的最左前缀匹配特性，如果左边的值未确定，那么无法利用此索引。
5、【保举】如果有 order by的场景，请注意利用索引的有序性。order by 最后的字段是组合索引的一部分，并且放在索引组合次序的最后，制止出

现 file_sort 的情况，影响查询性能。

正例:where a=? and b=? order by c;索引:a_b_c
反例:索引如果存在范围查询，那么索引有序性无法利用,如:WHERE a>10 ORDER BY b;索引a_b无法排序。
6、【保举】利用覆盖索引来举行查询操作，制止回表。

阐明:如果一本书需要知道第 11 章是什么标题，会翻开第 11 章对应的那一页吗?目录欣赏一下就好，这个目录就是起到覆盖索引的作用。
正例:能够创建索引的种类分为主键索引、唯一索引、普通索引三种，而覆盖索引只是一种查询的一种结果，用 explain 的结果，extra 列会出现:using index。
7.【保举】利用耽误关联或者子查询优化超多分页场景。

阐明:MySOL并不是跳过offset行，而是取 offset+N行，然后返回放弃前 offset行，返回N行，那当offset 特别大的时间，服从就非常的低下，要么控制返回的总页
数，要么对超过特定阈值的页数举行 SOL改写。
正例:先快速定位需要获取的id 段，然后再关联:
SELECT a.*FROM 表1a,(selectid from 表1 where 条件 LMIT 100000,20)b where a.id=b.id
8、【保举】SQL性能优化的目标:至少要达到 range 级别，要求是ref级别，如果可以是consts最好。

阐明:
反例:explain 表的结果，type=index，索引物理文件全扫描，速度非常慢，这个index 级别比较 range还低，与全表扫描是小巫见大巫。
9、【保举】建组合索引的时间，区分度最高的在最左边。

正例:如果 where a=?and b=?,如果a列的几乎接近于唯一值,那么只需要单建 idx_a索引即可。
阐明:存在非等号和等号混合时，在建索引时，请把等号条件的列前置。如:where c>?and d=?那么即使c的区分度更高，也必须把d放在索引的最前线，即索引idx_d_c。
10、【保举】防止因字段类型不同造成的隐式转换，导致索引失效。
（三）sql语句

1、【强制】不要利用 count(列名)或 count(常量)来替换 count()，count()是SQL92 界说的标准统计行数的语法，跟数据库无关，跟 NULL和非 NULL 无

关。

阐明:count(*)会统计值为 NULL的行,而 count(列名)不会统计此列为 NULL 值的行。
2、【强制】count(distinct col)盘算该列除 NULL之外的不重复行数,注意 count(distinct col1, co12)如果此中一列全为 NULL,那么即使另一列有不同的值，

也返回为 0。

3、【强制】当某一列的值全是NULL时，count(col)的道回结果为 0sum(col)的返回结果为 NULL，因此利用 sum()时需注意 NPE 问题。

正例:利用如下方式来制止 sum 的 NPE问题:SELECT IFNULL(SUM(column),0) FROM table;NPE:NullPointerException 编程语言中的空指针非常。
4、【强制】利用 ISNULL()来判定是否为 NULL值。

阐明:NULL与任何值的直接比较都为 NULL。
1)NULL<>NULL的返回结果是 NULL,而不是 false。
2)NULL=NULL的返回结果是 NULL，而不是 true。
3)NULL<>1 的返回结果是 NULL,而不是 true
5、【强制】代码中写分页查询逻辑时，若count为0应直接返回，制止执行背面的分页语句。

6、【强制】不得利用外键与级联，统统外键概念必须在应用层解决。

7、【强制】禁止利用存储过程，存储过程难以调试和扩展，更没有移植性，

8、【强制】数据订正(特别是删除、修改记载操作)时，要先select，制止出现误删除，确认无S误才华执行更新语句。


免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。



欢迎光临 IT评测·应用市场-qidao123.com (https://dis.qidao123.com/) Powered by Discuz! X3.4