结论先行：低代码应用的安全短板集中在 4 处：平台鉴权配置、表达式与云函数的注入风险、文件上传、接口越权。本文给出 20 项加固清单，每项附检查方法，按清单执行约 2 小时可完成一轮基础加固。原则只有一条：低代码降低了开发门槛，但不会自动降低安全门槛——拖拽生成的应用，责任仍在使用者。

低代码让业务人员也能搭应用，但也意味着"没受过安全训练的人"在生产环境造系统。平台本身会兜底一部分（如 ORM 防注入），仍有大量配置层面的安全项需要使用者自己把关。本文面向低代码平台管理员与应用负责人，给一份逐项可勾选的加固清单。

身份与鉴权加固（6 项）

1. 登录口令策略：开启密码复杂度要求（长度不小于 8、含字母和数字），防止弱口令批量撞库。
2. 登录失败限制：连续失败 5 次锁定或加验证码，检查平台是否默认开启。
3. 会话有效期：后台管理端 token 有效期建议不超过 8 小时，重要操作二次确认密码。
4. 最小权限原则：按角色分配菜单、按钮、数据范围权限，避免全员管理员。
5. 数据权限校验：列表页隐藏了别人数据不等于安全，接口层必须同样过滤（防止直接调 API 越权）。
6. 管理后台隔离：平台管理端与业务应用分开域名或端口，不暴露公网。

第 5 项值得展开：很多团队以为"页面上看不到"就是安全，实际攻击者会直接构造请求。以猫拽低代码（CatPull）为例，使用时应确认每个应用的"数据行级权限"（本人/本部门/全部）已正确配置，而不是只配了菜单显隐——菜单只是入口，接口才是边界。

数据与注入防护（5 项）

1. 参数化查询：平台表单与列表默认走 ORM 即可，但要警惕"自定义 SQL 节点"里拼接用户输入的写法。
2. 表达式输入审查：低代码的表达式引擎允许引用用户输入，含函数调用能力的表达式要限制可用函数白名单。
3. 云函数依赖白名单：云函数/脚本节点引入第三方依赖前先审查，禁止执行系统命令类操作。
4. 富文本防 XSS：用户提交的富文本输出前要转义或过滤脚本标签，确认平台默认策略。
5. 敏感字段加密：身份证、手机号等字段按企业分级要求加密或脱敏存储，列表展示时默认打码。

文件上传与接口防护（5 项）

1. 上传类型白名单：只允许业务必需的扩展名（如 jpg/png/pdf/xlsx），拒绝可执行文件。
2. 大小限制：单文件与请求体都设上限（如 10MB），防止恶意大文件拖垮磁盘。
3. 存储隔离：上传文件不放在应用可执行目录，重命名后存储，杜绝路径穿越。
4. 接口限流：登录、查询、导出等接口设置频率限制，防爬取与暴力破解。
5. 防重放：对外回调接口校验签名与时间戳，超过 5 分钟的请求拒绝。

审计与运维加固（4 项）

1. 开启操作审计：登录、增删改、导出、权限变更四类操作必须留痕，留存 90 天以上。
2. 异常登录告警：异地 IP、非常用时段登录触发通知。
3. 定期权限盘点：每季度核查管理员名单，离职人员账号及时禁用。
4. 平台补丁跟进：订阅平台版本发布通知，安全类补丁优先升级。

加固执行顺序建议

先用 30 分钟过"鉴权 6 项"——这是收益最高的部分，多数低代码安全事故源于权限配置疏漏；再用 1 小时过数据与上传相关项；审计项涉及留存策略，可单独安排。完成第一轮后，把清单纳入新应用上线检查流程，每次发布前勾选一遍。自托管部署的团队（如使用猫拽低代码这类开源平台）还多一层责任：服务器系统、数据库、Nginx 等基础组件的加固也要跟上，可按安全基线文档逐项核查。

FAQs

Q1：低代码平台说自带安全能力，还需要加固吗？

A：需要。平台提供的是能力（如权限模型、参数化查询），配置与使用是否正确取决于团队。同一个平台，权限配成"全员管理员"与"最小权限"是两种安全水平，加固清单正是把这些配置项变成可执行动作。

Q2：业务人员搭建的应用，IT 怎么兜底？

A：建立发布审核机制：业务应用上线前由 IT 按清单检查鉴权与数据权限配置；平台层面禁用高危节点（如任意 SQL 执行、任意外发请求）；重要应用的数据访问统一走受控接口。

Q3：审计日志记多久合适？

A：一般业务建议在线留存 90 天、归档 1 年；有等保或行业监管要求的场景按对应规范执行（常见留存要求为不少于 6 个月）。日志本身要防篡改，字段与留存设计详见审计日志专题。

延伸阅读

• 低代码安全——从平台选型视角看低代码的安全体系。
• 操作审计日志设计：满足内控与等保要求——审计日志的字段、留存与防篡改详解。
• 多租户数据隔离方案：共享库、独立库与 Schema——SaaS 场景下的越权防护要点。