安全

应用程序安全性在开发阶段启动。 Adobe建议应用以下安全最佳实践。

使用请求会话

遵循最少权限的原则，Adobe建议使用绑定到用户请求的会话和适当的访问控制来完成每个存储库的访问。

Protect针对跨站点脚本(XSS)

跨站点脚本(XSS)允许攻击者将代码注入其他用户查看的网页中。 恶意Web用户可能会利用此安全漏洞绕过访问控制。

AEM在输出时应用过滤所有用户提供内容的原则。 在开发和测试过程中，防止XSS都是最优先的任务。

AEM提供的XSS保护机制基于OWASP（Open Web应用程序安全项目）提供的AntiSamy Java库。 默认AntiSamy配置可在

/libs/cq/xssprotection/config.xml

通过覆盖配置文件，您必须根据自己的安全需求调整此配置。 官方的AntiSamy文档将为您提供实施安全要求所需的所有信息。

注意

我们强烈建议您始终使用AEM🔗提供的XSSAPI来访问XSS保护API。

此外，Web应用程序防火墙（如Apache🔗的mod_security）可以提供对部署环境安全的可靠、集中的控制，并防止以前未检测到的跨站点脚本攻击。

访问Cloud Service信息

注意

Cloud Service信息的ACL以及保护实例所需的OSGi设置将作为生产就绪模式的一部分自动执行。 虽然这意味着您无需手动进行配置更改，但仍建议您在部署开始之前先查看配置更改。

当您将AEM实例与Adobe Marketing Cloud集成时，您将使用Cloud Service配置。 有关这些配置的信息以及收集的任何统计信息都存储在存储库中。 如果您使用此功能，我们建议您查看此信息的默认安全性是否与您的要求相符。

Webservicesupport模块将统计信息和配置信息写入：

/etc/cloudservices

具有默认权限：

  • 创作环境：contributors的read

  • 发布环境：everyone的read

Protect反跨站点请求伪造攻击

有关AEM用于缓解CSRF攻击的安全机制的更多信息，请参阅安全检查表的Sling反向链接过滤器部分和CSRF保护框架文档。

在此页面上