一、Web應用系統的工作原理
現代的信息系統，無論是建立信息發布和數據交換平臺，還是建立外部商業和內部業務應用系統，都離不開Web應用系統。
Web應用是由動態腳本語言（如ASP、JSP和PHP等）和編譯過的代碼等組合而成，它通常架設在Web服務器上。用戶在Web瀏覽器上發送請求，這些請求使用HTTP協議，經過互聯網或內部網絡與服務者的Web應用交互，由Web應用與企業后臺的數據庫及其他動態內容通信。
盡管Web應用有著許多簡化或復雜搭建方式，但一個典型的 Web 應用通常是標準的三層架構模型:
在這種最常見的模型中，客戶端是第一層；使用動態Web技術的部分屬于中間層；數據庫是第三層。用戶通過Web瀏覽器發送請求給中間層，由中間層將用戶的請求轉換為對后臺數據的查詢或是更新，并將最終的結果在瀏覽器上展示給用戶。
二、Web應用系統的安全漏洞
Web應用系統有著其固有的開發特點：開發人員素質一般、需求快速變更導致缺乏嚴謹的設計和代碼編寫、系統沒有經過嚴格的測試等，這些特點加上HTTP協議本身的無狀態和匿名性，導致Web應用出現了很多的漏洞，如SQL注入漏洞、跨站腳本漏洞等等。
另外，管理員對Web系統的現成軟件（包括操作系統、Web服務器軟件、中間件、第三方平臺、數據庫）的配置不當也會造成很多漏洞，最常見的就是網頁被篡改。
作為Web應用運行的基礎平臺，Web服務器（軟件）本身只提供對HTTP協議的處理，并不會對協議數據的來源和內容進行安全檢查和安全加固，如下圖所示：
正是基于Web服務器這樣的工作原理，黑客就可以利用Web應用程序自身的漏洞和管理員配置不當造成的漏洞而對Web應用進行攻擊和破壞。
三、天存Web應用安全解決方案
為了從源頭上杜絕攻擊的發生，天存通過核心內嵌技術給WEB服務器軟件打上安全補丁，在WEB服務器尚未對請求進行內部（業務）處理之前，對請求中包含的各項數據進行過濾，確保只將安全的請求交給Web服務器進行處理；在Web服務器合成響應之前對文件的完整性進行檢查，確保響應內容的正確性。如下圖所示：
方案優勢
- 1.通過對請求和響應的雙向檢測，一方面確保黑客利用Web應用程序自身漏洞發起的各種應用層攻擊都能夠被實時阻斷；另一方面杜絕篡改后的網頁/腳本文件被訪問的可能性，使黑客利用管理員配置不當等漏洞篡改網頁的企圖完全落空。
- 2.不存在獨立的安全模塊運行進程，工作過程完全與Web服務的運行進程融合，在精準理解和分析Web服務請求數據的同時，確保入侵者無法干擾安全檢測的運行。
- 3.與操作系統及硬件無關，與應用系統使用的腳本語言無關，無需改變網絡拓撲結構，對Web應用的正常運行沒有任何影響。
