【计算机网络全面教学】网络安全与加密技术，从对称加密到常见攻击防御Day6（2026年）

写在前面网络安全这块很多人觉得跟我关系不大我又不是安全工程师。说实话这种想法很危险。我见过太多项目因为SQL注入被脱库、因为XSS被挂马、因为没配HTTPS被抓包。网络安全不是某个岗位的事是每个程序员的基本功。今天这篇我把加密原理、攻击手段、防御方案全部串起来讲内容有点多但每一条都值得你认真看。文章目录一、网络安全概述二、对称加密与非对称加密对称加密 vs 非对称加密的锁和钥匙类比2.1 对称加密2.2 非对称加密2.3 对称加密 vs 非对称加密对比三、哈希函数与数字签名3.1 哈希函数3.2 数字签名数字签名的盖章类比四、SSL/TLS握手过程详解SSL/TLS握手的密钥交换故事五、身份认证与访问控制5.1 多因素认证MFA5.2 防火墙类型防火墙的小区保安类比5.3 ACL访问控制列表六、入侵检测IDS vs 入侵防御IPS七、VPN虚拟专用网VPN的地下隧道类比八、常见网络攻击与防御常见攻击的详细场景故事DDoS攻击 一群人堵在门口让正常人进不来ARP欺骗 冒充物业给错手机号SQL注入 在快递单上写恶意指令XSS攻击 在留言板上贴恶意小广告CSRF攻击 伪造你的签名做坏事8.4 中间人攻击MITM8.7 攻击与防御对照表九、零信任安全模型简介十、新手常见误区误区1HTTPS是绝对安全的误区2加密和哈希是一回事误区3防火墙能防所有攻击误区4XSS和CSRF是同一种攻击十一、问题与解答十二、面试高频考点汇总面试题1对称加密和非对称加密的区别HTTPS中如何结合使用面试题2HTTPS的TLS握手过程面试题3常见网络攻击有哪些如何防御面试题4数字签名的工作原理面试题5什么是零信任安全模型和传统模型有什么区别十三、模拟测试题1. 以下哪种加密算法属于非对称加密2. SQL注入攻击的最佳防御手段是3. CSRF攻击利用的是什么4. 以下哪种哈希算法已被证明不安全不推荐使用5. 零信任安全模型的核心原则是参考答案十四、互动话题参考资料一、网络安全概述网络安全的核心目标可以概括为三个词机密性、完整性、可用性也就是常说的CIA三要素。安全目标含义破坏后的后果举例机密性Confidentiality数据不被未授权的人看到信息泄露数据库被拖库、通信被窃听完整性Integrity数据不被未授权地篡改数据被篡改、伪造网页被植入恶意代码可用性Availability系统和资源随时可用服务中断DDoS攻击导致网站瘫痪除了CIA三要素还有几个重要的安全属性认证性Authentication确认通信双方的身份不可否认性Non-repudiation发送方不能否认自己发送过的消息可追溯性Accountability可以追踪到操作者踩坑提醒很多人把安全等同于加密这是片面的。加密只是保障机密性的一种手段网络安全还包括访问控制、入侵检测、安全审计等方方面面。二、对称加密与非对称加密对称加密 vs 非对称加密的锁和钥匙类比理解加密算法最好的方式是想象锁门和开门加密类型锁和钥匙类比说明对称加密同一把钥匙锁门和开门你有一把钥匙锁门用它开门也用它。钥匙只有一把怎么安全地交给对方是个问题公钥非对称加密挂锁谁都能锁你把一个挂锁公开给大家任何人都能用它来锁门但只有你有钥匙能打开私钥非对称加密唯一的钥匙只有你有只有你能开门别人就算拿到挂锁也打不开生活场景对称加密你和室友共用一把家门钥匙。开门锁门都用它但如果钥匙丢了或被复制家里就不安全了。非对称加密你在家门口放一个公共挂锁任何人来都可以把东西锁进你家的信箱里用公钥加密但只有你能打开信箱取走用私钥解密。踩坑提醒对称加密的钥匙分发问题是核心难题——怎么把钥匙安全地交给对方非对称加密解决了这个问题但速度太慢。所以实际应用中两者配合用非对称加密传递对称密钥再用对称密钥加密数据。2.1 对称加密对称加密是指加密和解密使用同一个密钥。算法密钥长度安全性速度应用场景DES56位已不安全快已淘汰3DES168位实际112位一般较慢兼容旧系统AES128/192/256位非常安全快当前主流AESAdvanced Encryption Standard是目前最广泛使用的对称加密算法支持128位、192位和256位密钥长度。256位AES目前没有已知的有效攻击方法。2.2 非对称加密非对称加密使用一对密钥公钥公开和私钥保密。算法密钥长度安全性速度应用场景RSA2048位安全慢数字签名、密钥交换ECC256位等效RSA 3072位更安全较快移动端、IoT设备2.3 对称加密 vs 非对称加密对比对比维度对称加密非对称加密密钥数量一个密钥一对密钥公钥私钥加解密速度快适合大量数据慢适合小数据密钥分发困难如何安全传递密钥简单公钥可以公开典型算法AES、DES、3DESRSA、ECC典型应用数据加密传输数字签名、身份认证、密钥交换踩坑提醒实际应用中对称加密和非对称加密是配合使用的。HTTPS就是典型例子用非对称加密来交换对称密钥然后用对称密钥加密实际数据。这样既解决了密钥分发问题又保证了加解密效率。三、哈希函数与数字签名3.1 哈希函数哈希函数将任意长度的输入映射为固定长度的输出哈希值/摘要。算法输出长度安全性状态MD5128位已被破解不推荐使用SHA-1160位已被破解不推荐使用SHA-256256位安全当前主流SHA-512512位非常安全高安全需求场景哈希函数的核心特性单向性从哈希值无法反推出原始数据抗碰撞性找不到两个不同的输入产生相同的哈希值雪崩效应输入微小变化导致输出巨大变化importhashlib# SHA-256哈希示例dataHello, World!hash_valuehashlib.sha256(data.encode()).hexdigest()print(hash_value)# 输出: dffd6021bb2bd5b0af676290809ec3a53191dd81c7f70a4b28688a362182986f踩坑提醒千万不要用MD5来存密码MD5已经被碰撞攻击破解了。即使加个salt也不够安全。推荐用bcrypt或scrypt这类专门为密码设计的哈希算法。3.2 数字签名数字签名用于验证消息的真实性和完整性。数字签名的盖章类比把数字签名想象成盖章验证概念盖章类比说明私钥签名用你自己的印章盖在文件上印章只有你手里有盖了章就代表我认可这份文件公钥验证任何人都可以用印章模板来验证大家手里都有你的印章模板公钥可以对比这个章是不是你的哈希值文件的指纹文件内容稍有变化指纹就完全不同盖章的完整过程你写了一份合同原始消息你先按一个指纹在合同上计算哈希值你用自己独有的印章盖在指纹上用私钥加密哈希值生成数字签名你把合同和盖章的指纹一起寄出去发送消息数字签名对方收到后用你公开的印章模板比对用公钥解密签名对方再自己按一个指纹对比重新计算哈希值两个指纹一样说明合同确实是你发的而且没被篡改过签名过程发送方用自己的私钥对消息的哈希值进行加密生成数字签名将消息和数字签名一起发送验证过程接收方用发送方的公钥解密数字签名得到哈希值A接收方对收到的消息重新计算哈希值B如果A B说明消息未被篡改且确实来自发送方发送方 接收方 | | | 消息 → SHA-256 → 哈希值 | | 哈希值 → 用私钥加密 → 数字签名 | | | | 消息 数字签名 | | -------------------------------- | | | | 数字签名 → 用公钥解密 → 哈希值A | 消息 → SHA-256 → 哈希值B | 哈希值A 哈希值B? 验证通过四、SSL/TLS握手过程详解SSL/TLS是保障网络通信安全的核心协议。SSL已经被淘汰现在使用的是TLSTransport Layer Security但大家习惯上还是叫HTTPS/SSL。SSL/TLS握手的密钥交换故事想象这样一个场景小明和小红要交换一个秘密但中间可能有窃听者小偷偷听。他们该怎么办故事开始小明和小红约定用一种特殊的盒子非对称加密小红把一把公开挂锁发给小明服务器发送公钥/证书小明收到挂锁后确认是真的小红发的验证证书小明把秘密纸条放进盒子用挂锁锁上用公钥加密预主密钥小明把锁好的盒子寄给小红发送加密后的预主密钥小红用只有自己有的钥匙打开盒子用私钥解密预主密钥现在小明和小红都有了同一个秘密预主密钥他们用秘密生成了一把相同的普通钥匙生成会话密钥之后所有通信都用这把普通钥匙锁门和开门对称加密通信为什么要这么麻烦直接用普通钥匙对称加密通信最快但怎么把钥匙安全交给对方用挂锁非对称加密可以安全传递但太慢了所以先用挂锁传递普通钥匙再用普通钥匙快速通信踩坑提醒这个先用非对称加密交换对称密钥再用对称密钥通信的思路是理解HTTPS、SSH等所有安全协议的核心。记住这个故事面试时讲出来比背流程图更生动。TLS 1.2完整握手过程客户端 服务器 | | | 1. ClientHello | | - 支持的TLS版本 | | - 支持的加密套件列表 | | - 客户端随机数Client Random | | - 支持的扩展 | | -------------------------------------------- | | | | 2. ServerHello | | - 选定的TLS版本 | | - 选定的加密套件 | | - 服务器随机数Server Random | | -------------------------------------------- | | | | 3. Certificate数字证书 | | -------------------------------------------- | | | | 4. ServerKeyExchange密钥交换参数 | | -------------------------------------------- | | | | 5. ServerHelloDone | | -------------------------------------------- | | | | 6. 验证证书合法性 | | 7. 生成预主密钥Pre-Master Secret | | 8. 用服务器公钥加密预主密钥 | | 9. ClientKeyExchange加密后的预主密钥 | | -------------------------------------------- | | | | 10. ChangeCipherSpec切换到加密模式 | | -------------------------------------------- | | 11. Finished加密握手消息的摘要 | | -------------------------------------------- | | | | 12. ChangeCipherSpec | | -------------------------------------------- | | 13. Finished | | -------------------------------------------- | | | | 14. 双方基于预主密钥两个随机数生成会话密钥 | | 15. 安全通信开始 | | |踩坑提醒TLS 1.3简化了握手过程只需要1-RTT甚至0-RTT而TLS 1.2需要2-RTT。面试时如果被问到TLS握手最好说明是哪个版本。另外TLS 1.0和1.1已经被正式废弃现在最低应该用TLS 1.2。五、身份认证与访问控制5.1 多因素认证MFA多因素认证要求用户通过两个或多个独立的认证因素来证明身份。认证因素类型举例知识因素你知道什么密码、PIN码、安全问题“你的第一只宠物叫什么”拥有因素你有什么手机、U盾、安全令牌短信验证码、Google Authenticator固有因素你是什么生物特征指纹、人脸识别、虹膜踩坑提醒短信验证码其实安全性并不高存在SIM卡劫持风险。推荐使用TOTP基于时间的一次性密码类应用比如Google Authenticator或Authy。5.2 防火墙类型防火墙的小区保安类比把防火墙想象成小区门口的保安防火墙类型保安类比工作方式包过滤防火墙只看门牌号放行“3号楼的可以进5号楼的不行”——只看IP地址和端口号不看包裹里是什么状态检测防火墙记住谁进来了谁出去了“这个人刚才出去了现在回来可以进”——跟踪连接状态不是随便谁都能进应用层防火墙检查包裹内容“包裹里装的什么打开看看”——深度检查数据内容能识别出恶意代码场景对比包过滤快递员说我是送3号楼的保安就放行了。但如果坏人冒充快递员保安也发现不了。状态检测你出门买菜回来保安记得你直接放行。陌生人想混进来没门。应用层你收到一个包裹保安打开检查里面是不是危险品确认安全再给你。防火墙类型工作层级原理优点缺点包过滤防火墙网络层检查IP地址、端口号、协议类型速度快、实现简单不检查应用层数据容易被欺骗状态检测防火墙网络层传输层跟踪连接状态维护状态表安全性更高资源消耗较大应用层防火墙应用层深度检查应用层数据内容最精确、可识别应用速度慢、成本高5.3 ACL访问控制列表ACLAccess Control List是路由器和交换机上常用的访问控制机制。ACL类型编号范围过滤依据特点标准ACL1-99只能基于源IP地址过滤简单粗粒度扩展ACL100-199基于源IP、目的IP、协议、端口过滤精细灵活# 标准ACL示例允许192.168.1.0网段拒绝其他access-list10permit192.168.1.00.0.0.255 access-list10deny any# 扩展ACL示例允许192.168.1.0访问Web服务拒绝其他access-list100permit tcp192.168.1.00.0.0.255 any eq80access-list100deny tcp any any eq80踩坑提醒ACL的匹配规则是从上到下一旦匹配就不再往下检查。所以要把更具体的规则写在前面更宽泛的规则写在后面。这个顺序搞反了你的ACL就等于没用。六、入侵检测IDS vs 入侵防御IPS对比维度IDS入侵检测系统IPS入侵防御系统工作方式旁路监听只检测不拦截串联部署检测并拦截对网络影响不影响网络流量可能影响网络性能误报影响产生告警不影响业务可能误断正常连接部署位置交换机镜像端口网络关键路径类比监控摄像头只看不动保安看拦截简单来说IDS是发现入侵后报警IPS是发现入侵后直接阻断。实际部署中很多企业会同时部署IDS和IPS形成纵深防御。七、VPN虚拟专用网VPN的地下隧道类比把VPN想象成地下隧道概念类比说明公网大街所有人都能看到你在干什么听到你说什么VPN地下隧道你和目的地之间有一条加密的通道外人在大街上看不到隧道里的内容VPN服务器隧道的另一端出口你的流量从隧道出来看起来是从出口位置发出的生活场景你在咖啡厅连公共WiFi大街上旁边坐着一个黑客在偷听。你打开VPN相当于钻进了一条地下隧道。黑客只能看到有个人进了隧道但完全看不到你在隧道里干什么、访问什么网站。你的流量从隧道另一端的VPN服务器出来网站看到的是VPN服务器的地址不是你的真实位置。踩坑提醒不要把VPN和翻墙画等号。VPN的核心价值是在不安全的网络上建立安全通道企业远程办公、保护公共WiFi下的通信安全这些都是VPN的正经用途。VPNVirtual Private Network在公共网络上建立加密的专用通道。VPN类型协议特点适用场景IPsec VPNIPsec网络层加密安全性高配置复杂企业站点间互联Site-to-SiteSSL VPNTLS应用层加密无需客户端使用方便远程办公Remote AccessWireGuardWireGuard代码极简约4000行性能优异现代加密新一代VPN首选WireGuard的优势代码量极小安全审计容易使用现代密码学Curve25519、ChaCha20、Poly1305连接建立快支持漫游内核态运行性能远优于OpenVPN踩坑提醒不要把VPN和翻墙画等号。VPN的核心价值是在不安全的网络上建立安全通道企业远程办公、保护公共WiFi下的通信安全这些都是VPN的正经用途。八、常见网络攻击与防御常见攻击的详细场景故事DDoS攻击 一群人堵在门口让正常人进不来场景故事一家餐厅正常营业能容纳100位客人。攻击者雇了1000个人不是来吃饭的就是堵在门口不让真正的客人进去。餐厅门口被堵得水泄不通正常客人根本进不来餐厅生意完全瘫痪。技术原理攻击者控制大量僵尸主机肉鸡同时向目标发送海量请求耗尽服务器资源。常见类型SYN Flood发送大量SYN报文但不完成三次握手耗尽服务器半连接队列UDP Flood发送大量UDP包到随机端口迫使服务器回复ICMP不可达HTTP Flood发送大量看似合法的HTTP请求耗尽应用层资源防御方法流量清洗CDN、云清洗中心限流和降级SYN Cookie技术扩容和弹性伸缩ARP欺骗 冒充物业给错手机号场景故事你住在一个小区物业有个通讯录记录每家对应的电话号码。坏人冒充物业工作人员偷偷把通讯录上1号楼物业电话改成了自己的手机号。以后1号楼住户有问题打物业电话其实都打给了坏人。坏人可以监听、甚至篡改住户和物业之间的沟通。技术原理ARP协议没有认证机制攻击者发送伪造的ARP响应将自己的MAC地址伪装成网关的MAC地址从而截获网络流量。防御方法静态绑定ARP表部署ARP防火墙使用动态ARP检测DAI划分VLAN隔离广播域SQL注入 在快递单上写恶意指令场景故事你在快递单的备注栏里写了“请放在门口顺便帮我把隔壁的门也打开”。快递员如果不仔细看真的照做了。SQL注入就是攻击者在输入框里填写恶意指令如果程序不检查就直接拼进数据库查询数据库就会执行攻击者的指令。-- 正常查询SELECT*FROMusersWHEREusernameadminANDpassword123456-- SQL注入攻击SELECT*FROMusersWHEREusernameadminOR11-- AND passwordanything-- 这样直接绕过了密码验证防御方法参数化查询预编译语句——最有效的防御手段输入验证和过滤使用ORM框架最小权限原则数据库账户只给必要权限// 正确做法使用预编译语句PreparedStatementstmtconnection.prepareStatement(SELECT * FROM users WHERE username? AND password?);stmt.setString(1,username);stmt.setString(2,password);踩坑提醒SQL注入至今仍是OWASP Top 1的安全威胁。我见过有人用替换关键字的方式来防御SQL注入比如把SELECT替换成空字符串——这种做法完全不可靠用SeLeCt就能绕过。老老实实用预编译语句。XSS攻击 在留言板上贴恶意小广告场景故事商场门口有个公共留言板大家都可以贴便签。坏人在上面贴了一张假中奖通知上面写恭喜你中奖了点击链接领取。路过的人看到便签信以为真点击后手机中毒了。XSS就是攻击者在网站上注入恶意脚本其他用户浏览时脚本自动执行。技术原理攻击者将恶意脚本注入到网页中当其他用户浏览该网页时恶意脚本在其浏览器中执行。三种类型类型存储位置危害程度举例存储型XSS服务器数据库高恶意评论、个人签名反射型XSSURL参数中中钓鱼链接DOM型XSS客户端DOM中前端代码漏洞防御方法对用户输入进行HTML转义设置Content-Security-PolicyCSP响应头设置Cookie的HttpOnly和Secure属性使用框架自带的XSS防护如React默认转义// 危险直接插入用户输入element.innerHTMLuserInput;// 安全使用textContentelement.textContentuserInput;// 安全使用转义函数functionescapeHTML(str){returnstr.replace(/[]/g,tag({:amp;,:lt;,:gt;,:#39;,:quot;}[tag]));}CSRF攻击 伪造你的签名做坏事场景故事你已经签好名在一张空白支票上登录了银行网站Cookie保存在浏览器。坏人趁你不注意把这张支票填上转账给坏人10万元然后冒充你交给银行。银行一看签名是真的就照办了。CSRF就是攻击者利用你已登录的状态在你不知情的情况下发起恶意请求。用户已登录银行网站有Cookie ↓ 攻击者发来一个链接img srchttp://bank.com/transfer?toattackeramount10000 ↓ 用户浏览器自动携带Cookie发起转账请求 ↓ 银行服务器认为是用户的合法操作 ↓ 转账成功防御方法CSRF Token服务器生成随机Token每次请求携带验证SameSite Cookie设置Cookie的SameSite属性为Strict或Lax验证Referer/Origin头检查请求来源关键操作二次确认转账、修改密码等操作要求重新输入密码踩坑提醒CSRF和XSS经常被混淆。XSS是攻击者往你的网站注入恶意脚本CSRF是攻击者利用用户的登录状态伪造请求。XSS可以利用CSRF但CSRF不一定需要XSS。8.4 中间人攻击MITM原理攻击者拦截并可能篡改通信双方的消息双方毫不知情。防御方法使用HTTPSTLS加密证书固定Certificate Pinning验证证书链的完整性避免使用不安全的公共WiFi8.7 攻击与防御对照表攻击类型攻击层级核心原理主要防御手段DDoS网络层/应用层海量请求耗尽资源流量清洗、限流、CDNARP欺骗数据链路层伪造ARP响应静态ARP、DAISQL注入应用层恶意SQL代码注入预编译语句、输入验证MITM网络层/传输层拦截篡改通信HTTPS、证书固定XSS应用层恶意脚本注入网页输入转义、CSP、HttpOnlyCSRF应用层利用登录状态伪造请求CSRF Token、SameSite九、零信任安全模型简介传统的安全模型是城堡与护城河——只要进了内网就是可信的。但现实证明这种假设是错误的。一旦攻击者突破边界内网就任人宰割。**零信任Zero Trust**的核心原则永不信任始终验证不管请求来自内网还是外网都必须验证最小权限原则每个用户/设备只拥有完成任务所需的最小权限持续认证不是登录一次就永远信任而是持续评估信任状态微分段将网络划分为小的安全区域限制横向移动传统模型 外网不信任→ [防火墙] → 内网完全信任 零信任模型 任何请求 → [身份验证] → [设备健康检查] → [权限评估] → [访问控制] → 资源踩坑提醒零信任不是某个产品而是一种安全理念。Google的BeyondCorp是零信任的典型案例它证明了不依赖VPN也能实现安全访问。十、新手常见误区以下是新手最容易搞混的几个概念建议反复看误区1HTTPS是绝对安全的错误理解“用了HTTPS我的数据就绝对安全了什么都不用担心。”正确理解HTTPS解决的是传输过程中的安全问题不是万能的。如果用户主动点击继续访问不安全网站或者电脑被安装了恶意根证书HTTPS也能被破解。另外HTTPS防不了XSS、SQL注入等应用层攻击。误区2加密和哈希是一回事错误理解“MD5是加密算法可以用来加密密码。”正确理解加密是可逆的能加密就能解密哈希是不可逆的只能算指纹不能还原。MD5、SHA-256是哈希算法不是加密算法。存密码应该用哈希如bcrypt而不是加密。误区3防火墙能防所有攻击错误理解“我们部署了防火墙所以网站很安全。”正确理解防火墙主要防的是网络层攻击对应用层攻击如SQL注入、XSS基本无能为力。就像小区保安能防陌生人进小区但防不了业主家里进小偷。需要WAFWeb应用防火墙、代码审计等多重防护。误区4XSS和CSRF是同一种攻击错误理解“XSS和CSRF都是跨站攻击差不多吧。”正确理解XSS是攻击者往你的网站注入恶意脚本利用的是网站对用户输入的信任。CSRF是攻击者利用用户的登录状态伪造请求利用的是浏览器自动携带Cookie的机制。两者原理完全不同防御方法也不同。十一、问题与解答Q1对称加密和非对称加密分别用在什么场景A对称加密速度快适合加密大量数据比如HTTPS中传输的实际网页内容。非对称加密速度慢但解决了密钥分发问题适合加密小数据如密钥交换、数字签名。实际应用中两者配合使用用非对称加密传递对称密钥再用对称密钥加密数据。Q2HTTPS一定能防止中间人攻击吗A不一定。如果用户主动忽略证书警告“继续访问不安全网站”或者攻击者成功安装了自签名根证书到用户系统HTTPS也能被中间人攻击。另外如果网站使用了过时的加密算法如RC4、DES也可能被破解。HTTPS是重要的安全措施但不是万能的。Q3为什么说MD5不安全A2004年王小云教授团队证明了MD5存在碰撞攻击即可以构造两个不同的文件产生相同的MD5值。这意味着攻击者可以伪造数字证书或文件而不被发现。SHA-1也已被证明不安全目前推荐使用SHA-256或更强的哈希算法。十二、面试高频考点汇总面试题1对称加密和非对称加密的区别HTTPS中如何结合使用参考答案对称加密使用同一密钥加解密速度快适合大量数据加密但密钥分发困难。非对称加密使用公钥私钥对安全性高密钥分发方便但速度慢。HTTPS中结合使用先用非对称加密RSA/ECDHE交换对称密钥预主密钥然后双方基于预主密钥生成会话密钥后续通信全部使用对称加密AES。这样既保证了密钥分发的安全性又保证了数据传输的效率。面试题2HTTPS的TLS握手过程参考答案以TLS 1.2为例1客户端发送ClientHello支持的加密套件、随机数2服务器回复ServerHello选定加密套件、随机数和数字证书3客户端验证证书CA链、域名、有效期4客户端生成预主密钥用服务器公钥加密后发送5服务器用私钥解密得到预主密钥6双方基于预主密钥和两个随机数通过PRF函数生成会话密钥7双方发送Finished消息确认握手完成8开始对称加密通信。面试题3常见网络攻击有哪些如何防御参考答案SQL注入通过预编译语句参数化查询防御避免拼接SQLXSS对用户输入进行HTML转义设置CSP头Cookie设置HttpOnlyCSRF使用CSRF Token设置Cookie的SameSite属性验证RefererDDoS部署CDN和流量清洗限流降级SYN CookieARP欺骗静态ARP绑定部署DAI划分VLAN中间人攻击使用HTTPS证书固定避免不安全WiFi面试题4数字签名的工作原理参考答案发送方先对消息进行哈希运算得到摘要然后用自己的私钥对摘要加密生成数字签名。接收方收到消息和签名后用发送方的公钥解密签名得到摘要A同时对消息重新计算哈希得到摘要B。如果A等于B说明消息确实来自发送方且未被篡改。数字签名保证了真实性、完整性和不可否认性。面试题5什么是零信任安全模型和传统模型有什么区别参考答案零信任的核心原则是永不信任始终验证。传统安全模型基于边界防御认为内网是可信的外网是不可信的。零信任模型不信任任何来源的请求无论来自内网还是外网都需要进行身份验证、设备健康检查和权限评估。零信任强调最小权限、持续认证和微分段。Google的BeyondCorp是零信任的典型案例。十三、模拟测试题1. 以下哪种加密算法属于非对称加密A. AESB. DESC. RSAD. 3DES2. SQL注入攻击的最佳防御手段是A. 替换SQL关键字B. 使用预编译语句参数化查询C. 限制数据库用户权限D. 使用防火墙3. CSRF攻击利用的是什么A. 服务器端漏洞B. 用户浏览器的Cookie自动携带机制C. 网络传输层的明文传输D. DNS解析的缓存机制4. 以下哪种哈希算法已被证明不安全不推荐使用A. SHA-256B. SHA-512C. MD5D. bcrypt5. 零信任安全模型的核心原则是A. 信任内网防御外网B. 一次认证永久信任C. 永不信任始终验证D. 只依赖防火墙防御参考答案C。RSA是非对称加密算法AES/DES/3DES都是对称加密算法。B。预编译语句参数化查询是防御SQL注入最有效的方法它将数据和SQL语句分离从根本上杜绝了注入。B。CSRF攻击利用的是浏览器会自动携带目标网站的Cookie从而利用用户的已登录状态发起伪造请求。C。MD5已被证明存在碰撞攻击不安全。bcrypt是专门为密码设计的哈希算法不是传统意义上的哈希函数。C。零信任的核心原则是Never trust, always verify永不信任始终验证不区分内外网所有请求都需要验证。十四、互动话题你在开发过程中遇到过哪些安全问题有没有被SQL注入、XSS、CSRF坑过你们公司的安全防护做得怎么样欢迎在评论区分享你的经历和看法。参考资料OWASP Top 10 Web Application Security RisksCloudflare - What is SSL/TLS?NIST Cybersecurity FrameworkZero Trust Architecture - NIST SP 800-207