二级等保、三级等保要求在应用安全方面要求有什么不同
二级、三级等级保护要求比较在应用安全的不同要求，主要从身份鉴别、访问控制、安全审计、剩余信息保护、软件容错、资源控制和代码安全等方面来说明。
应用安全：
身份鉴别：
二级等保：
1) 应用系统用户的身份标识应具有唯一性;
2) 应对登录的用户进行身份标识和鉴别;
3) 系统用户身份鉴别信息应具有不易被冒用的特点，例如口令长度、复杂性和定期的更新等;
4) 应具有登录失败处理功能，如：结束会话、限制非法登录次数，当登录连接超时，自动退出。
三级等保：
1) 系统用户的身份标识应具有唯一性;
2) 应对登录的用户进行身份标识和鉴别;
3) 系统用户的身份鉴别信息应具有不易被冒用的特点，例如口令长度、复杂性和定期的更新等;
4) 应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别;
5) 应具有登录失败处理功能，如：结束会话、限制非法登录次数，当登录连接超时，自动退出;
6) 应具有鉴别警示功能;
7) 应用系统应及时清除存储空间中动态使用的鉴别信息。
访问控制：
二级等保：
1) 应依据安全策略控制用户对客体的访问;
2) 自主访问控制的覆盖范围应包括与信息安全直接相关的主体、客体及它们之间的操作;
3) 自主访问控制的粒度应达到主体为用户级，客体为文件、数据库表级;
4) 应由授权主体设置用户对系统功能操作和对数据访问的权限;
5) 应实现应用系统特权用户的权限分离，例如将管理与审计的权限分配给不同的应用系统用户;
6) 权限分离应采用最小授权原则，分别授予不同用户各自为完成自己承担任务所需的最小权限，并在它们之间形成相互制约的关系;
7) 应严格限制默认用户的访问权限。
三级等保：
1) 应依据安全策略控制用户对客体的访问;
2) 自主访问控制的覆盖范围应包括与信息安全直接相关的主体、客体及它们之间的操作;
3) 自主访问控制的粒度应达到主体为用户级，客体为文件、数据库表级;
4) 应由授权主体设置用户对系统功能操作和对数据访问的权限;
5) 应实现应用系统特权用户的权限分离，例如将管理与审计的权限分配给不同的应用系统用户;
6) 权限分离应采用最小授权原则，分别授予不同用户各自为完成自己承担任务所需的最小权限，并在它们之间形成相互制约的关系;
7) 应严格限制默认用户的访问权限。
安全审计：
二级等保：
1) 安全审计应覆盖到应用系统的每个用户;
2) 安全审计应记录应用系统重要的安全相关事件，包括重要用户行为和重要系统功能的执行等;
3) 安全相关事件的记录应包括日期和时间、类型、主体标识、客体标识、事件的结果等;
4) 审计记录应受到保护避免受到未预期的删除、修改或覆盖等。
三级等保：
1) 安全审计应覆盖到应用系统的每个用户;
2) 安全审计应记录应用系统重要的安全相关事件，包括重要用户行为、系统资源的异常使用和重要系统功能的执行等;
3) 安全相关事件的记录应包括日期和时间、类型、主体标识、客体标识、事件的结果等;
4) 安全审计应可以根据记录数据进行分析，并生成审计报表;
5) 安全审计应可以对特定事件，提供指定方式的实时报警;
6) 审计进程应受到保护避免受到未预期的中断;
7) 审计记录应受到保护避免受到未预期的删除、修改或覆盖等。
剩余信息保护：
二级等保：
1) 应保证用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中;
2) 应确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除。
三级等保：
1) 应保证用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中;
2) 应确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除。
通信完整性：
二级等保：
1) 通信双方应约定单向的校验码算法，计算通信数据报文的校验码，在进行通信时，双方根据校验码判断对方报文的有效性。
三级等保：
1) 通信双方应约定密码算法，计算通信数据报文的报文验证码，在进行通信时，双方根据校验码判断对方报文的有效性。
抗抵赖：
二级等保：无
三级等保：
1) 应具有在请求的情况下为数据原发者或接收者提供数据原发证据的功能;
2) 应具有在请求的情况下为数据原发者或接收者提供数据接收证据的功能。
通信保密性：
二级等保：
1) 当通信双方中的一方在一段时间内未作任何响应，另一方应能够自动结束会话;
2) 在通信双方建立连接之前，利用密码技术进行会话初始化验证;
3) 在通信过程中，应对敏感信息字段进行加密。
三级等保：
1) 当通信双方中的一方在一段时间内未作任何响应，另一方应能够自动结束会话;
2) 在通信双方建立连接之前，利用密码技术进行会话初始化验证;
3) 在通信过程中，应对整个报文或会话过程进行加密;
4) 应选用符合国家有关部门要求的密码算法。
软件容错：
二级等保：
1) 应对通过人机接口输入或通过通信接口输入的数据进行有效性检验;
2) 应对通过人机接口方式进行的操作提供“回退”功能，即允许按照操作的序列进行回退;
3) 在故障发生时，应继续提供一部分功能，确保能够实施必要的措施。
三级等保：
1) 应对通过人机接口输入或通过通信接口输入的数据进行有效性检验;
2) 应对通过人机接口方式进行的操作提供“回退”功能，即允许按照操作的序列进行回退;
3) 应有状态监测能力，当故障发生时，能实时检测到故障状态并报警;
4) 应有自动保护能力，当故障发生时，自动保护当前所有状态。
资源控制：
二级等保：
1) 应限制单个用户的多重并发会话;
2) 应对应用系统的最大并发会话连接数进行限制;
3) 应对一个时间段内可能的并发会话连接数进行限制。
三级等保：
1) 应限制单个用户的多重并发会话;
2) 应对应用系统的最大并发会话连接数进行限制;
3) 应对一个时间段内可能的并发会话连接数进行限制;
4) 应根据安全策略设置登录终端的操作超时锁定和鉴别失败锁定，并规定解锁或终止方式;
5) 应禁止同一用户账号在同一时间内并发登录;
6) 应对一个访问用户或一个请求进程占用的资源分配最大限额和最小限额;
7) 应根据安全属性(用户身份、访问地址、时间范围等)允许或拒绝用户建立会话连接;
8) 当系统的服务水平降低到预先规定的最小值时，应能检测和报警;
9) 应根据安全策略设定主体的服务优先级，根据优先级分配系统资源，保证优先级低的主体处理能力不会影响到优先级高的主体的处理能力。
代码安全：
二级等保：
1) 应对应用程序代码进行恶意代码扫描;
2) 应对应用程序代码进行安全脆弱性分析。
三级等保：
1) 应制定应用程序代码编写安全规范，要求开发人员参照规范编写代码;
2) 应对应用程序代码进行代码复审，识别可能存在的恶意代码;
3) 应对应用程序代码进行安全脆弱性分析;
4) 应对应用程序代码进行穿透性测试。