V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
Recommended Services
Amazon Web Services
LeanCloud
New Relic
ClearDB
vibbow
V2EX  ›  云计算

阿里云式安全:因为特殊符号可能会造成注入,所以数据库密码中不允许使用特殊符号

  •  1
     
  •   vibbow · 2022-05-09 18:20:32 +08:00 · 4892 次点击
    这是一个创建于 689 天前的主题,其中的信息可能已经有所发展或是发生改变。
    第 1 条附言  ·  2022-05-09 19:07:37 +08:00
    这个是阿里云的 DBS 数据库备份服务
    为了连接备份数据库,所以密码肯定是以明文或者可还原的加密方式存储的

    去年的时候还没限制密码使用特殊字符
    21 条回复    2022-05-11 01:10:28 +08:00
    liuidetmks
        1
    liuidetmks  
       2022-05-09 18:22:52 +08:00
    数据库的密钥认证是传明文吗?
    password == inputPsw
    eason1874
        2
    eason1874  
       2022-05-09 18:32:01 +08:00
    传下去,阿里云认为 _ 以外的符号不安全( doge
    shyangs
        3
    shyangs  
       2022-05-09 18:38:10 +08:00
    MD5 / SHA3 雜湊完都是英數吧.

    阿里雲用明文密碼存資料庫?
    wunonglin
        4
    wunonglin  
       2022-05-09 18:38:53 +08:00
    @eason1874 #2 传下去。阿里云不安全
    Vegetable
        5
    Vegetable  
       2022-05-09 18:43:29 +08:00
    嗯...造成注入这个说法是其他对话体现的吗?
    vibbow
        6
    vibbow  
    OP
       2022-05-09 19:05:13 +08:00
    @Vegetable JDBC 过滤字符,唯一可能的理由就是防止注入呀
    neutrinos
        7
    neutrinos  
       2022-05-09 20:35:45 +08:00 via iPhone
    aws rds 也不行,如果没记错的话
    neutrinos
        8
    neutrinos  
       2022-05-09 20:41:15 +08:00 via iPhone
    aws

    The password can include any printable ASCII character except "/", """, or "@".

    阿里云

    长度为 8~32 个字符。
    由大写字母、小写字母、数字、特殊字符中的任意三种组成。
    特殊字符为!@#$%^&*()_+-=
    vibbow
        9
    vibbow  
    OP
       2022-05-09 20:59:15 +08:00 via Android
    @neutrinos 我很确定阿里云不可以用星号
    neutrinos
        10
    neutrinos  
       2022-05-09 21:40:53 +08:00 via iPhone
    @vibbow 正常,阿里云的文档做的像屎一样
    hengxiangbianhua
        11
    hengxiangbianhua  
       2022-05-10 09:11:08 +08:00 via Android
    支持使用全角符号,会不会好一点
    salmon5
        12
    salmon5  
       2022-05-10 09:38:09 +08:00
    AWS
    Can't contain any of the following: / (slash), '(single quote), "(double quote) and @ (at sign).
    ychost
        13
    ychost  
       2022-05-10 09:39:12 +08:00
    @wunonglin #4 传下去。阿里云被黑了
    salmon5
        14
    salmon5  
       2022-05-10 09:39:41 +08:00
    密码就不应该用特殊字符,大小写+数字,20 位或以上即可
    salmon5
        15
    salmon5  
       2022-05-10 09:40:19 +08:00   ❤️ 2
    用特殊字符就是一知半解的人,觉得安全了,实际上有更多安全隐患,你应该感谢阿里云
    julyclyde
        16
    julyclyde  
       2022-05-10 10:06:35 +08:00
    你有没有听说过密码里带 at 符号,导致
    schema://user:pass@host
    这种被解析错误的事件?

    我们公司就有,而且他们还有脸去找解析方要求修改
    hst001
        17
    hst001  
       2022-05-10 10:43:18 +08:00
    @wunonglin 传下去,云不安全
    heliotrope
        18
    heliotrope  
       2022-05-10 10:44:37 +08:00
    @salmon5
    就是有些厂商非得要求你
    大小写字母+数字+特殊字符
    点名 个税 APP
    然后根本记不住 每次使用都得重置一次密码
    holystrike
        19
    holystrike  
       2022-05-10 10:49:14 +08:00
    @heliotrope 多安全,拿枪顶着脑袋都不会透露密码
    unco020511
        20
    unco020511  
       2022-05-10 15:15:30 +08:00
    @wunonglin #4,传下去,阿里说腾讯云不安全
    proxychains
        21
    proxychains  
       2022-05-11 01:10:28 +08:00
    @unco020511 翻转了,aws 此举无异于搬起阿里云砸自己的 jio
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   我们的愿景   ·   实用小工具   ·   1135 人在线   最高记录 6543   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 27ms · UTC 18:40 · PVG 02:40 · LAX 11:40 · JFK 14:40
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.