外链失效？90%人忽略的3大安全权重杠杆

　　去年8月份接了个政务系统的外链安全加固项目，甲方是某局信息中心，合同签了十八万，尾款三万六。我原以为就是常规的HTTPS改造+CSP策略配置，结果第一周就被需求方按在地上摩擦——他们那个OA系统里藏着三百多个外链，其中一百二十七个是十年前用Dreamweaver嵌的Flash广告位，现在全变成404死链，但页面还留着占位框，像电子墓碑似的。

　　周三凌晨两点，甲方负责人老张在微信甩了份Excel，标题是《紧急需求变更-最终版.xlsx》，我点开一看，文件修改时间显示"两分钟前"，里面用红色字体标了四十七处"就改一点点"：把失效的Flash外链换成H5动画，但动画源文件要能兼容IE8；所有外链域名必须备案在甲方名下，可他们提供的备案主体是十年前注销的皮包公司；最绝的是要求所有外链加载失败时显示自定义404页面，但那个页面的设计稿还没出，让我先"凭经验做"。

　　我盯着手机屏幕看了三分钟，回了个"在吗"，他秒回"在，方案什么时候能改好？"。这时候群里突然弹出消息，是测试组的小王发了个60秒的语音方阵，我点都没点，直接打字："外链失效的根源根本不是技术问题，是你们当年做系统时根本没考虑安全权重杠杆！"

文章配图，仅供参考

　　结果老张回："我们领导说这些都不算问题，现在最急的是明天要给上级演示，你得先把动画效果做出来。"我差点把手机摔了——这哪是改需求，这是让我用胶带粘裂开的瓷碗啊！

　　周五下午，我带着测试机去甲方现场，发现他们用的还是Windows Server 2008，IIS版本是6.0，连CSP头都配不全。更离谱的是，他们为了"美观"，把所有外链的referrer策略都设成了"no-referrer-when-downgrade"，导致部分外链因为跨协议被浏览器拦截，却反过来怪我们技术不行。我当场打开F12，指着控制台里的三百多个警告说："看见没？这些才是真正的安全权重杠杆，你们当年埋的雷，现在全炸了。"

　　老张的脸色有点难看，说要请示领导。我趁机溜到走廊抽烟，碰到他们运维小李，这哥们偷偷跟我说："哥，其实我们也不想改，但领导说'就改一点点'能省预算，原来说好买安全设备的钱，现在要拿去买新服务器。"我问他新服务器用在哪，他指了指隔壁会议室："里面摆着二十台，全是给演示系统用的，用完就扔。"

　　回到工位，老张说领导同意加两万，但要求周末必须完工。我翻出合同，指着"需求变更需双方书面确认"那条说："加钱可以，但得先签补充协议，否则尾款别想要了。"他愣了一下，说"都是熟人，至于吗"，我直接把转账截图发给他："去年那个教育系统项目，你们也是这么说，结果尾款拖了八个月，最后还是我找关系才要回来。"

　　最终方案是：动画效果保留，但只做首页三个核心位置；外链域名统一用甲方新注册的备案主体；加载策略改成异步，失败时显示系统默认404。至于CSP和referrer策略，我写了份《安全风险告知书》，让老张签字画押——以后出问题，责任在他们。

　　周一验收时，领导对动画效果很满意，但看到404页面是系统的，又皱眉头："怎么不是我们设计的？"我指着告知书说："您签过字的，这部分没在需求里。"他哼了一声，没再说什么。结账时，财务扣了三千块"延期罚款"，说是"因为周末加班"。我收了钱，把源码和文档打包发过去，转身就走——这种项目，二开是不可能的，这辈子都不可能的。

　　现在回想起来，外链失效根本不是技术问题，是甲方从立项开始就没把安全当回事。他们要的不是"就改一点点"，是"用最少的钱，办最多的事，出了问题再甩锅"。所以下次再有人跟我说"就改一点点"，我会直接回："行，先打钱，再改需求——否则您找别人去。"

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!