What's Security

研究安全应该时常问自己这个问题，什么是安全，什么是安全，什么是安全，安全的本质是什么，只有理解了安全的本质，才能成功的设计一个安全方案。

现在的感觉是没有绝对的安全，所谓的‘安全’其实都只不过是增加攻击者的成本，只要是人想出来的安全措施，基本上也终究都还是会被攻克的。网络安全的本质其实和生活中的其它安全类似，早先在道哥的白帽子讲web安全中讲到安全问题的本质是信任的问题，现在再次翻看这样的文章，深感其中的道理。一切的安全方案设计的基础，都是建立在信任关系上的。

安全是一个持续对抗的过程，不是一劳永逸的，一方面攻击者总希望自己的矛攻无不克，另一方面防守者总希望自己的盾坚不可摧，这个过程中总是呈现此消彼长的，攻防对抗技术也就在这个过程中得到提升，试图掩盖网络攻击行为最终会阻碍网络对抗水平的提升的(有一些事情大家都懂的)。

一个好的安全方案要遵循一下几个原则

1. 最小权限原则，只授予必要的权限，而不要过度的权限，比如普通的网站数据库连接应该只有增删查改的权限，而不应该有读写文件的权限。
2. 不可预测性的原则，这个原则主要用于防止伪造和篡改的攻击，比如在对抗csrf攻击中就有很好的体现。
3. 数据与代码分离原则，这个原则其实是为了防止各种注入攻击的。