网站开发时安全访问控制原则有哪些

网站开发时安全访问控制原则有以下这些：

• 只使用可信系统对象（比如，服务器端会话对象）以做出访问授权的决定。使用一个单独的全站点部件以检查访问授权，包括调用外部授权服务的库文件。安全地处理访问控制失败的操作。

• 如果应用程序无法访问其安全配置信息，则拒绝所有的访问。在每个请求中加强授权控制，包括：服务器端脚本产生的请求，includes和来自像AJAX和FLASH那样的富客户端技术的请求。

• 如果状态数据必须存储在客户端，使用加密算法，并在服务器端检查完整性以捕获状态的改变。

• 限制单一用户或设备在一段时间内可以执行的事务数量。事务数量/时间应当高于实际的业务需求，但也应该足够低，以判定自动化攻击。

• 仅使用referer头作为辅助性质的检查，它永远不能被单独用来进行身份验证检查，因为它可以被伪造。

• 如果长的身份验证会话被允许，则应周期性地重新验证用户的身份，以确保他们的权限没有改变。如果发生改变，注销该用户，并强制他们重新执行身份验证。

• 执行账户审计并将没有使用的账号强制失效（比如，在用户密码过期后的30天以内）。

• 应用程序必须支持账户失效，并在账户停止使用时终止会话（比如，角色、职务状况、业务处理的改变等）。服务账户或连接到外部系统或来自外部系统的账号，应当只有尽可能小的权限。

• 建立一个“访问控制政策”，以明确一个应用程序的业务规则、数据类型和身份验证的标准或处理流程。