內容導向網頁應用程式後端的安全性

後端安全性 (又稱為伺服器端安全性) 是指用於保護網頁應用程式後端元件的做法，包括伺服器、伺服器端核心、資料庫和 API 端點，避免受到威脅和安全漏洞的影響。安全性是開發網頁應用程式時不可或缺的一環，因為安全性可確保私人客戶資料的可信度、完整性和可用性。

使用後端做為服務產品的優點之一，就是系統已為您完成大量威脅管理工作。但設定不正確的使用者權限等情況，可能使最安全的後端不安全。

開發內容導向網頁應用程式時，請務必善用程式設計技巧、設定和設定最佳做法、工具、基礎架構和服務，降低潛在威脅或風險。OWASP 十大企業提供目前和新興網頁應用程式安全性風險的總覽，以及如何在 Google Cloud 上降低這些風險。

網頁應用程式防火牆

網頁應用程式防火牆 (WAF，例如 Google Cloud Armor) 是一種安全性解決方案，用於保護網頁應用程式不受各種線上威脅，包括常見的網路安全漏洞和攻擊。做為外部要求和內部系統之間的一層，通常是直接整合在接收外部流量的負載平衡或端點。他們會根據安全性政策監控及分析傳入要求，這些政策可允許或拒絕流量，封鎖惡意要求和潛在威脅。網路應用程式防火牆通常會與其他安全措施搭配使用 (例如定期安全性測試、安全程式設計做法和網路安全性控管)，為網頁應用程式建立完善的安全策略。許多雲端服務供應商都提供網路應用程式託管環境來整合網路應用程式防火牆服務。

進一步瞭解如何設定 Google Cloud Armor 以保護後端。

連入流量的 Proxy 層

連入 Proxy 層 (通常稱為反向 Proxy) 是一種網路安全性元件，位於用戶端要求與網路伺服器、應用程式或服務之間。它會代表伺服器後方的伺服器處理傳入要求，扮演中介角色。這項技術提供多項優點，包括安全性、負載平衡、快取和轉送。

代管 Proxy (或門面) 層是指外包給第三方供應商的網路基礎架構元件，或是負責監督機構的 Proxy 伺服器部署、維護和運作的代管服務。代管 Proxy 層可提高網路安全性、將效能最佳化，並提供其他網路功能。您可以利用代管 Proxy 層，卸載與網路元件相關的營運和管理責任，減輕內部 IT 團隊的負擔。這些服務通常可擴充，且可以根據特定的安全性或法規遵循需求進行自訂。

例如，針對可外部存取的 API，Apigee 是一個雲端原生 API 管理平台，可在流量到達後端前管理流量、隔離要求，以及強制執行安全政策。

服務最佳做法

請考慮應用程式所用服務的安全性最佳做法，並按照相關建議操作。舉例來說，如果是 Cloud Run，請務必驗證要求並保護雲端資源。如需 Cloud SQL 的最佳做法，請參閱設定、架構及管理資料的最佳做法。

Secret Manager 這類密鑰管理系統會處理安全的儲存空間、管理和存取應用程式密鑰 (例如 API 金鑰、憑證和加密編譯金鑰)。這些服務可以透過連接器連線至其他後端服務，讓後端系統能夠安全地存取您的密鑰。

如果您在後端使用其他 API、SDK 或服務，請另外研究並遵循最佳做法。舉例來說，如果您使用 Google 地圖平台服務，請遵循處理 API 金鑰及保護應用程式的建議最佳做法。

監控和快訊，包括記錄與稽核存取，也都是應考量的重要層面。

Google Cloud 安全性最佳做法針對安全的架構和應用程式設計提供了一般藍色的印花和總覽。Security Command Center 提供一套 Google Cloud 安全性和風險管理工具工具，其中包括可找出設定錯誤、安全漏洞和其他風險的自動化工具。

開發最佳做法

請遵循用於實作後端的架構和語言最佳做法。大部分熱門網路架構都發布了確實遵循的指南和最佳做法。

建議您在開發或建構管道時考慮使用自動化分析工具，以協助找出潛在問題。

OWASP Web Security Testing 指南 提供專為網頁應用程式設計的測試架構。