阿里规范 - 四、安全规约
4. 【强制】用户请求传入的任何参数必须做有效性验证。
说明：忽略参数校验可能导致：
⚫ page size 过大导致内存溢出
⚫ 恶意 order by 导致数据库慢查询
⚫ 任意重定向
⚫ SQL 注入
⚫ 反序列化注入
⚫ 正则输入源串拒绝服务 ReDoS
说明：Java 代码用正则来验证客户端的输入，有些正则写法验证普通用户输入没有问题，但是如果攻
击人员使用的是特殊构造的字符串来验证，有可能导致死循环的结果。
//Java反序列化漏洞分析 https://blog.csdn.net/jameson_/article/details/80137016
//(OWASP汉化)攻击系列大全(五十一)：正则表达式拒绝服务（ReDoS) https://www.andseclab.com/2018/04/19/owasp%E6%B1%89%E5%8C%96%E6%94%BB%E5%87%BB%E7%B3%BB%E5%88%97%E5%A4%A7%E5%85%A8%E4%BA%94%E5%8D%81%E4%B8%80%EF%BC%9A%E6%AD%A3%E5%88%99%E8%A1%A8%E8%BE%BE%E5%BC%8F%E6%8B%92%E7%BB%9D%E6%9C%8D%E5%8A%A1/
6. 【强制】表单、AJAX 提交必须执行 CSRF 安全验证。
说明：CSRF(Cross-site request forgery)跨站请求伪造是一类常见编程漏洞。对于存在 CSRF 漏洞的应用
/网站，攻击者可以事先构造好 URL，只要受害者用户一访问，后台便在用户不知情的情况下对数据库中
用户参数进行相应修改。
//todo 进一步熟悉危害 公司项目是否有做相应的防御
//Web安全之CSRF漏洞整理总结
