转至元数据起始

 安全防护中默认开启的是文件上传校验和Security Headers，如果企业对于安全性要求较高，推荐服务器配置https，开启Cookie增强，可参考帮助文档配置SSL。

如果企业有用到跨域iframe打开报表，需要点开Security Headers的高级设置，将点击劫持攻击防护关闭。 

访问控制功能默认打开，可根据企业实际情况进行调整，并发较大的企业可以将限制频率适当放宽。 

SQL防注入中默认禁用了一些可能导致sql注入的特殊关键字，如有其他关键字需要禁用或特殊字符需要转义可自行开启添加

打开这个功能可以避免报表通过url免登陆或越权访问，开启了外网访问的报表服务器强烈推荐开启。 

也可以选择需要认证的模板，除特殊情况有需要给企业外部人员看的模板外，建议全选。 

对于报表内容都非敏的企业，可以选择仅认证用户密码，此认证方式登录用户可以通过url访问任何模板；

而如果报表存在敏感信息的企业，建议使用角色权限控制，可以对部门角色用户等单独配置模板权限，或者直接不进行任何授权，禁止url形式的访问只允许通过平台访问报表；

数字签名认证则是针对一些比较复杂需要用到数字签名的系统。 

建议先进行服务器邮箱绑定或开启短信平台，以便服务器能使用邮件或短信服务接收验证码。 

系统管理登陆中，如无特殊情况，建议开启单一登陆，避免出现共用、冒用账号的情况（移动端和PC端同时登录不冲突），其中有两种单一登陆策略，可按企业实际需要选择。 

若企业对于密码强度或密码定期更新有要求，可以开启密码定期更新和密码强度限制，根据要求调整相应策略。

修改密码验证方式如果绑定了邮箱或短信平台的企业可以考虑打开，开启后需要用设备接收验证码完成验证才能修改密码，不开启情况下可以直接用旧密码进行密码修改。 

滑块验证和登录锁定都是防暴力破解的有效手段，建议开启，滑块验证开启后两次密码错误，第三次登录需要滑块验证，而登录锁定可以对错误密码次数进行限定，超出错误次数则锁定账号或者IP，一般建议设置锁定账号，主要外网使用的企业可以使用锁定IP，管理员账号锁定根据企业实际情况决定是否开启，开启后若管理员账号被锁定只能通过等待锁定时间或忘记密码来解锁。 

短信验证和邮箱验证综合企业的用户邮箱手机绑定情况考虑，同时开启的情况下只用二者选其一验证即可。