1. 概述
1.1 版本
报表服务器版本 | App 版本 |
---|---|
11.0 | V11.0 |
1.2 应用场景
为了提升产品的安全性,本文整理了正式工程中移动端应当开启的相关安全设置,可参照本文对工程进行安全加固。
注:参照本文进行安全配置后,部分功能会有影响,主要面向安全诉求更高的客户。
2. 登录安全
管理员进入「管理系统>系统管理>登录」模块。
序号 | 相关配置 | 说明 | 操作步骤图示 |
---|---|---|---|
1 | 单一登录(可选) | 作用:限制账号同时只能在一处登录 建议开启,如果有多用户共用账号需求可关闭 | ![]() |
2 | 登录超时时间 | 作用:无操作 X 分钟后会话失效 建议配置为 10 分钟 | ![]() |
3 | 密码策略设置 | 作用:增加密码破解的难度 前提条件:先确认「用户管理」是否使用 平台内置认证 方式,是则做相关配置,否则认证功能安全性由客户自己的认证系统保证无需配置 建议勾选以下配置:
| ![]() |
4 | 开启短信和邮件验证(可选) | 条件具备建议开启「短信验证」和「邮箱验证」,从而能够开启以下功能:
| 参考帮助文档:修改密码验证方式 |
5 | 模板认证 | 开启模板认证 认证方式:建议选择「仅认证用户名密码」,如果可配置具体模板权限的话建议选择「角色权限认证」,然后对模板和用户进行具体的权限配置 |
3. 系统安全
管理员进入「系统管理>安全管理」模块。
序号 | 相关配置 | 说明 | 操作步骤图示 |
---|---|---|---|
1 | 开启 Security Headers 及高级设置 | 「Security Headers」,安全头系列设置,开启后将给请求头附加 HTTP Security Headers 属性,阻止漏洞攻击 | 详情请参考文档:安全防护 |
2 | 开启文件上传校验 | 开启后对填报及平台外观配置中上传文件的后缀和大小进行校验 允许上传白名单中的文件类型包括:jpg , jpeg , gif , bmp , png , pdf , doc , docx , ppt , pptx , xls , xlsx , zip | |
3 | 脚本调用公式限制 | JS 脚本中有些公式存在安全风险,开启后将限制脚本中有风险的共识调用 | |
4 | 开启 Token 认证增强 | 服务器增加IP校验:IP相同则自动放行;IP不同则识别为新的客户端,自动跳转到登录页,需要重新登录 | |
5 | SQL 防注入 | SQL 防注入功能,针对模板发出的参数请求进行拦截。可实现:
| ![]() |
6 | 访问控制 | 开启后,可以对一定时间内的访问次数进行限制,超出则拉入黑名单,无法再进行资源访问,可有效缓解异常访问,爬虫爬取和 CC 攻击的情况 | |
7 | 水印设置(可选) | 水印是一种防止数据泄露的有效方式:
| 详情请参考文档:水印设置 |
4. 安全插件
序号 | 插件 | 说明 |
---|---|---|
1 | XSS过滤器 | 以有效解决XSS注入的安全问题 详情请参考文档:XSS过滤器插件 |
2 | PUT、DELETE请求转成POST | 部分用户环境禁用了 PUT、DELETE 请求,导致平台一些请求不正常 用户可通过安装「PUT、DELETE请求转成POST」插件,将 PUT、DELETE 请求转成 POST 请求 详情请参考文档:PUT、DELETE请求转成POST插件 |
3 | 安全加固 | 安装后,数据连接处的 SQL验证查询功能不可用、不可添加 JNDI数据连接、水印设置禁用部分函数、日志管理处的手动清理日志功能被屏蔽。但是对于被爆破了账密的系统能有效提升服务器安全性 |
5. 安全选项
详情请参考文档:数据库安全选项开启 。
序号 | 相关配置 | 参数 | 说明 |
---|---|---|---|
1 | 接口屏蔽版本信息响应 | SystemConfig.hideVersion | true:系统信息接口不返回版本信息 |
2 | token 不在 websocket 的 url 中传输 | WebSocketConfig.webSocketTokenInHeader | socket 通信 token 传递方式。
|
3 | 插件完整性校验 | PluginFileValidateConfig.fileValidateOpen | 本地安装/手动安装插件时,为了防止恶意篡改插件包中的代码,2021.11.24 及之后的版本,提供插件完整性校验功能。该功能默认关闭。true:配置后开启 |
6. 移动端安全
6.1 数据分析 App 安全
序号 | 相关配置 | 说明 | 操作步骤图示 |
---|---|---|---|
1 | 设备绑定 | 通过设备绑定功能,对帐号登录的设备进行授权绑定后,账号只能在指定设备上登录,设备更换或遗失时,管理员也可以及时解除原有绑定,避免安全隐患 | |
2 | 手势密码 | 除常规账号密码登录之外,App 提供手势密码进行身份验证,保护隐私数据 | |
3 | 内外网隔离 | 支持 VPN 建立与企业内网的可信安全连接,解决用户远程接入过程中终端、接入、链路等环节的安全问题 App 内嵌了深信服 VPN,支持代理服务器配置,实现移动端外网访问,实现内外网隔离场景 | |
4 | Activity 劫持保护 | 保障客户端运行安全,核心是对 Activity 的劫持保 护 App 如果发现登录页 Activity 被劫持,会弹出提示,防止被恶意攻击者替换上仿冒的恶意 Activity 界面进行攻击和非法用途 | |
5 | iOS 后台快照模糊 | 程序切换至后台时,iOS模糊后台快照 | |
6 | 越狱环境监测 | V10.4.80 版本及以上的 App,登录时会默认检测 iOS 设备是否越狱。对于越狱设备,弹出提示框:当前设备已越狱,存在因病毒软件而导致的信息泄露的风险 |
6.2 OEM App 安全
详细功能说明请参考文档:App 打包 。