13518219792
①主机安全维护。
创新互联公司是一家集网站制作、网站设计、网站页面设计、网站优化SEO优化为一体的专业网站设计公司，已为成都等多地近百家企业提供网站建设服务。追求良好的浏览体验,以探求精品塑造与理念升华,设计最适合用户的网站页面。 合作只是第一步，服务才是根本,我们始终坚持讲诚信，负责任的原则，为您进行细心、贴心、认真的服务,与众多客户在蓬勃发展的市场环境中,互促共生。
主机安全包括主机的安全防御以及主机的安全设置，安全防御可以由软件来解决。
服务器行业安全软件做的最好的有：安全狗，护卫神，云锁。这几款软件相对来说安全狗操作稍微比较复杂，安全设置比较齐全，上手难度比较难不建议尝试（有毁灭网站的风险），云锁普通入门级别大多数人都可以使用，护卫神和云锁差不多不过没尝试过具体设置。安全设置主要是端口设置一般windows主机的话尽量不要使用默认端口登录远程，Linux主机如果安装控制面板的话就尽可能的屏蔽掉22.443端口。
②网站安全维护。
做好网站安全维护要做的主要的就是定期备份网站和数据库，有条件的话尽量在一个月或者一周备份一次，发现问题及时恢复。不轻易安装不熟悉的插件主题，不随意添加有调用外部链接的代码，因为这些不管是插件主题还是代码都有可能被留后门的嫌疑。使用常用cms建站是一定要注意账号密码后台路径一定不要使用默认，对于使用热门的cms官方出的补丁一定要定时更新，因为热门研究的人就比较多，补丁出来就证明有漏洞已经存在了，如果不定时更新就有可能被黑客扫到漏洞的风险。
③账号密码安全。
账号密码问题绝对不是危言耸听，很多人使用的密码都是全球最常见十大密码（123456,123456789，qwerty，12345678，111111，1234567890，1234567，password，123123，admin）这些密码黑客基本上不用几秒钟就能破解，还有就是账号也不能使用默认，不要轻易去陌生网站注册账号密码信息，以免被不怀好意人利用。
结论：不管是网站安全还是服务器安全维护都是一种保护措施，不是做到这些了就能万无一失的，告诫同行或者企业主们，在自己能力承受的范围切莫四面树敌，更别去招惹哪些黑客和居心不良的人。
你可以不需要使用登录的方式，可以学习比如新浪微博，腾讯微博的OAuth1.0的方式
简单的说，其实就是在你的AndroidApp上有一个公钥，而你服务器上也同时使用这个公钥就可以做到数据加密
你AndroidApp上比如有一个AppSecret="abcdefg"
而你的服务器上面也有这个AppSecret="abcdefg"
在AndroidApp上使用SHA1(自己百度找JAVA SHA1的工具类)加密，密钥使用AppSecret
数据发送到服务器上，服务器使用AppSecret="abcdefg"解密即可
这个前提是别人无法破解你的App获取到App里面的AppSecret，而做到这个则需要解开Android的App包，如果别人真做到了，那你任何安全性的保障都是无用的，所以以上的方法即可
大数据已经渗透到每一个行业和业务职能领域，并逐渐成为重要的生产因素，如何保护数据安全呢?
第一种武器：透明加密软件
这里指的加密软件，不是网络上可以随意下载的那种免费的个人级数据安全加密软件。我们通常可以在各种软件下载网站，下载诸如文件夹加密超级大师、加密王之类的加密软件，这些软件只是“伪加密”，很容易被菜鸟级的计算机用户破解，而且经常发生文件被破坏无法恢复，非常不安全。
企业用户里的研发部门、设计部门等核心部门，每天产生大量的源代码、平面设计图、电路设计图、3D图、或者是音频视频文件，这些文件需要在产生、使用、存储和流转过程中进行加密处理。这就需要使用企业级“透明加密软件”。这种软件在国内已经相当成熟，以Smartsec软件等为代表。
Smartsec是针对内部信息泄密，对数据进行强制加密/解密的软件产品。该系统在不改变用户使用习惯、计算机文件格式和应用程序的情况下，采取“驱动级透明动态加解密技术”，对指定类型的文件进行实时、强制、透明的加解密。即在正常使用时，计算机内存中的文件是以受保护的明文形式存放，但硬盘上保存的数据却是加密状态。如果没有合法的使用身份、访问权限、正确的安全通道，所有加密文件都是以密文状态保存。所有通过非法途径获得的数据，都以乱码文件形式表现，保护数据安全。
第二种武器：文档权限管理软件
对于个人级的用户，可以利用Windows Rights Management Services(权限管理服务，简称 RMS)，以及Office版本中的信息权限管理(Information Rights Management，IRM)来防止用户利用转发、复制等手段滥用你发给他们的电子邮件消息和Office文档(主要是Word、 Excel、 PowerPoint)。国外企业通常所用的DRM(Data Rights Management)手段大抵如此。对企业级的用户来说，这种权限管理是相当业余的，而且最大的问题是，这种权限管理是没有对数据本身进行高强度的加密。采用这样的权限管理，做不到真正细粒度的权限划分，是一种非常粗放的管理手段，数据安全难以得到保护。
对企业级用户来说，对文档的权限管理需要采用专业的权限管理系统。以亿赛通文档权限管理系统为例，这是针对企业用户可控、授权的电子文档安全共享管理系统。该系统采用“驱动级透明动态加解密技术”和实时权限回收技术，对通用类型的电子文档进行加密保护，且能对加密文档进行细分化的权限设置，确保机密信息在授权的应用环境中、指定时间内、进行指定操作，不同使用者对“同一文档”拥有“不同权限”。 通过对文档内容级的安全保护，实现机密信息分密级且分权限的内部安全共享机制。
第三种武器：文档外发管理系统
对那些经常需要把文档发送给合作伙伴或者是出差人员的企业来说，如果把文档发给外部单位之后，就放任不管，必然有造成重大机密泄露的风险。为了防范文档外发之后造成泄密的风险，采用文档外发管理系统是目前最有效的数据安全。
目前这种文档外发管理软件产品比较多。亿赛通文档外发管理系统是比较出色的一种。亿赛通文档外发管理系统是针对客户的重要信息或核心资料外发安全需求设计的一款外发安全管理解决方案。当客户要将重要文档外发给客户的出差人员、合作伙伴或客户时，应用文档外发管理程序打包生成外发文件发出。当外发文件打开时，需通过用户身份认证，方可阅读文件。同时，外发文件可以限定接收者的阅读次数和使用时间等细粒度权限，从而有效防止了客户重要信息被非法扩散。
加密方案：AES + RSA两种加密方式混合使用，能够实现数据的全程加密（无论是上传，还是拉取）。
1、从客户端动态生成16位AES密码
2、使用第一步生成的AES密码加密要上发的请求数据，由于AES加密后是byte[]数据，所以这里还需要使用base64封装一层以方便传输。格式大概如下：
3、使用RSA公钥加密第二步生成的数据中的key，从而实现对key的保密，RSA加密后生成的二进制数据同样还需要再使用base64封装一层以方便传输，客户端的加密过程到这里就基本完成，然后就可以将该请求发送到服务端了。（RSA公钥客户端持有，RSA秘钥服务端持有）
4、服务端收到了客户端发送过来的请求后，拿到key参数，即为RSA加密byte。
5、使用服务端持有的私钥解密第4步获取到的RSA加密byte。从而获取到了第二步时候的数据，同时需要base64解码data数据。也即拿到了AES的key。
6、获取到AES的key后，便可以使用其来解密第5步中的data字段，也就是客户端的真正请求数据。进而做相关操作，并生成相应返回值。
7、服务端返回值生成后，同样使用第5步获取到的key进行加密，并得到返回的data（同样的base64封装）。与客户端加密不同的是，服务端的返回中key字段是客户端的key字段加了rsa签名后的数据。格式大概如下。
8、使用服务端持有的私钥对从客户端传过来的key的二进制数据进行签名（以防止中间人攻击），然后将数据向客户端返回。
9、客户端拿到服务端的数据返回后，先使用本地持有的公钥验证签名。然后base64解码。
10、使用请求时候生成的key来解码第9步验证通过的数据，解码后便得到了服务器端的真正返回，至此流程大概就完成了。
最后我们来分析下，为什么说，这套方案是比较安全的。
首先我们假设客户端被反编译，那他能获取到什么呢，一个动态生成的rsa加密key吗，拿过来并没有卵用。不过他能拿到我们的客户端公钥，拿到公钥之后，他可以做两件事情，1、伪造一个客户端，发送请求。 2、可以用来验证任意请求是否来自我们的服务器。 这两种情况也就够他自己一个人玩玩，都无法构成威胁。
其次，我们假设他通过抓包，获取了到了我们某个用户的请求全过程。接下来他可能首先分析上行数据，得到的是一个rsa加密后的数据，同样我们假设他反编译了我们的客户端，并且拿到了公钥，然而他还是解不了我们的rsa加密。上行数据无法破解，那他接下来就要来分析下行数据了，下行数据封装比较简单，而他也有我们的公钥，完全可以验证通过，并长驱直入直接拿到了我们的AES加密串，可惜啊，可惜，下行数据中并没有AES的秘钥啊。
总结一下，这套方案要被破解，思路只有通过其他途径直接控制服务器，然后再拿到我们的私钥，那就死翘翘了。不过真到了服务器都被人家攻陷了，那人家还拿你私钥干嘛，人家直接在上面挂个木马来转接客户端请求不就可以了。综上所述，这其实是一套相当完美的前后端数据交互方案。
