在今年的两会上,与微信小程序有关的是外交部部长王毅表示会在两周后推出12308微信版。此后,在3与22日,“外交部12308”正式上线。而两会上另一个话题——互联网安全,也不可避免地让人联想到现在“即用即走”的微信小程序。
微信小程序不用安装,有的扫码就能用,有的要在微信中搜索进入,而这种方便快捷的使用方式是不是真的就能减少安全隐患呢?
知道创宇在两会期间义务为党政府机关和企事业单位提供“微信小程序”安全测试。其中发现某大型企业的小程序存在遍历漏洞,可导致大量平台用户信息及订单信息泄露。
经测试,小程序在获取用户订单列表时直接使用PassportId参数进行查询,未验证查询参数PassportId是否与查询人会话身份(session)匹配,这样便导致可以通过修改PassportId值的方式获得其他用户对订单列表,从而获取用户信息。
针对该问题,知道创宇建议,在获取用户数据时添加会话验证,只允许读取当前登录用户的订单信息,由此有效避免个人信息泄露。
由此可见,小程序安全问题大有可观
安全服务团队结合小程序特点对小程序做了大量分析后发现,大部分小程序的开发者可能会在小程序编写上存在SQL注入、越权访问、文件上传、CSRF信息泄露等严重安全问题,一旦这些问题爆发,对财产安全、用户信息、用户信任度等方面都会产生极其恶劣的影响。
微信小程序使用便捷的特点,是用户接受小程序的最大原因。并且,微信小程序新增的对个人开发者开放注册小程序的功能势必会让无数的开发者尝试开发小程序,而一些并不严谨的开发者如果只为图快,不考虑安全问题的话,就会导致大量的微信小程序存在各种安全隐患。所以在图方便的同时,更要注重对信息的保护,那才是真正便民的小程序。
相关文章推荐
-
运营小咖秀丨第二届干货沙龙(北京大学站)心得分享
Dear,非常感谢你们的辛苦组织,也很幸运能参加这次活动。在写的过程中,我也有想是对技能收获的总结,还是我对几块的思考。最终我觉得技能方面大家通过PPT,你们的资料就能学习很多,我无须赘述,仅分享我的几点收获。见附件。谢谢鼓励。文:秋景|微信号:iq....
-
内容创作也有公式可循?|演讲笔记
徐罡:mol摩尔时尚制片人内容来源:2018年7月4日-5日,由梅花网主办的“第八届梅花网传播业大展-北京站”成功举办,mol摩尔时尚制片人徐罡进行了以“高品质与接地气”为主题的分享。梅花网作为主办方,经讲者审阅授权发布。全网首发·完整笔记·短视频梅....
-
终于有综艺节目揭露公关圈的“潜规则”了
本文转自微信订阅号“风和日丽”(ID:singthelife),本文已经原作者授权转载,未经授权,请勿转载~吴宗宪父女主持的《小明星大跟班》最近做了一期“公关圈大爆料”。简直了,果然行业不受地域的影响,天下公关一般黑。(But,还是有善类PR了,比如....
-
小程序丨扫普通链接二维码打开小程序接入指南
了普通链接二维码,是指开发者使用工具对网页链接进行编码后生成的二维码。对于普通链接二维码,目前支持使用微信扫一扫直接扫码跳转小程序,暂不支持微信内长按识别二维码打开小程序。登录小程序后台,进入设置开发设置扫普通链接二维码打开小程序,开启功能后即可配置....
-
[ 专访 ] 小马宋:再谈营销、广告与品牌
来源|插坐学院(ID:chazuomba)作者|插坐学院►小马宋回答了12个问题,约6800字/01/好多课APP:什么是营销?小马宋:我们最常听到的一个观点是,“他们公司营销做得特别好”。实际上大家都会觉得:所谓的做营销就是特别会炒作,或者说特别会....
-
5个问题判断一个营销案例是否值得学习
来源:小圈梨(微信号:xiaoquanlisocial)原标题:不要再盲目照搬案例了,怎么判断一个营销案例是否值得学习?研究案例对品牌/营销从业者来说太重要了。可以说:它是入门者的集训营,是资深者的反思镜。但是,天下案例那么多,我们不能不假思索地全盘....