开源Web框架:安全性

Question

流行的开源Web框架有多安全？

我对Rails和DJango等流行框架特别感兴趣.

如果我正在建立一个将要进行大量电子商务的网站,那么使用像DJango和Satchmo这样的框架是否可以呢？

安全性因为开放架构而受到损害吗？

我知道操作系统并不意味着对黑客开放,Linux使用卓越的身份验证机制,但Web是一个不同的游戏.

在这方面可以做些什么？

更新:

谢谢你的回答.

我知道我必须为安全的电子商务应用程序找到合适的托管服务,并且需要额外的安全层.

据我所知,Django和Rails的设计始终牢记安全方面,最常见的形式攻击如XSS,Injections等(Django书有安全性)

我期待安全大师的评论.如果您是安全大师,您会建议在DJango或Rails上构建一个可能会受欢迎的重要网站吗？

Answer 1

许多人说通过默默无闻的安全措施无效.可以引用Microsoft产品,Adobe Reader等作为证据证明封闭源在防止安全问题方面不比开源更有效.

许多开源倡导者认为,更多的眼睛是更好的方法是解决与安全相关的错误的一种方法.然而,实际上,当您处理较小的应用程序或不太受欢迎的商业或开源时,往往很少有眼睛.因此,有一些黑帽子搜索谷歌代码的真正危险,其中包含一个带有安全漏洞的代码片段.

尽管如此,如果你使用一个相当流行的开源框架 - 我怀疑它会比竞争的商业产品更安全或更不安全.至少,您可以从具有非常活跃的社区的开源产品中更快地转向与安全相关的错误修复.

但是,如果您认真建立电子商务网站 - 您需要多层保护.绝对确保适当的防火墙和入侵防护/检测系统(IPS/IDS)到位.除托管外,您可能需要支付托管服务,该服务将提供安全性安全和监控服务.请记住,您的用户是您的客户!任何违规行为都可能对企业造成灾难性后果.