1.4 保护好cookie 如果道高一尺，还是不幸被攻击者攻击了，又该如何。其实，很多时候，我们的敏感信息都是存储在cookie中的（所以不要把用户机密信息放在网页中），想要阻止黑客通过js访问到cookie中的用户敏感信息。那么请使用cookie的HttpOnly属性，加上了这个属性的cookie字段，js是无法进行读写的，只能从后端获取。（好像只能通过后端的方式来设置）
1.5 设置内容安全策略 CSP其实就是一个白名单策略，允许的域才能加载，其他一律拒绝。meta设置和http响应头设置meta设置 http响应头设置
CSP指令集合： 引入多媒体的规则
CSP指令集合：
2 CSRF攻击 2.1 CSRF攻击是什么 CSRF（Cross-site request forgery）跨站请求伪造，也被称为“One Click Attack”。简单得说就是网站中的一些提交行为和信息，被黑客利用，你在访问黑客的网站的时候，进行的操作，会被操作到其他网站上。
2.2 get请求式攻击 这种方式的攻击在jsonp型的接口里很常见。由于jquery的jsonp方式可以跳过客户端的同源策略跨域请求jsonp；
在受害者访问含有这个img的页面后，浏览器会自动向http://bank.example/withdraw?account=xiaoming&amount=10000&for=hacker发出一次HTTP请求。bank.example就会收到包含受害者登录信息的一次跨域请求。
2.3 post请求式攻击 这种类型的CSRF利用起来通常使用的是一个自动提交的表单，如：
当用户打开安全网站后，在信息验证有效期内访问攻击网站的时候，表单会自动提交，相当于模拟用户完成了一次POST操作。
2.4 CSRF特点
攻击一般发起在第三方网站，而不是被攻击的网站。
攻击利用受害者在被攻击网站的登录凭证，冒充受害者提交操作；
跨站请求可以用各种方式：图片URL、超链接、CORS、Form提交等等。部分请求方式可以直接嵌入在第三方论坛、文章中，难以进行追踪。
总之，CSRF通常是跨域的，因为外域通常更容易被攻击者掌控。但是如果本域下有容易被利用的功能，比如可以发图和链接的论坛和评论区，攻击可以直接在本域下进行，这样就跨过同源策略，导致更容易受到CSRF攻击。
2.5 CSRF防御 1：同源检测
3：HTTP劫持 3.1 什么是HTTP劫持 3.2 劫持分类 跳转型劫持： 用户输入地址A，但是跳转到地址B注入型劫持： 有别于跳转型型劫持，指通过在正常的网页中注入广告代码（js、iframe等），实现页面弹窗提醒或者底部广告等，又分为下面三个小类：3.3 防御劫持
4：点击劫持 4.1：什么是劫持 点击劫持是一种视觉欺骗的攻击手段。攻击者将需要攻击的网站通过 iframe 嵌套的方式嵌入自己的网页中，并将 iframe 设置为透明，在页面中透出一个按钮诱导用户点击。比如，用户在登陆 A 网站的系统后，被攻击者诱惑打开第三方网站，而第三方网站通过 iframe 引入了 A 网站的页面内容，用户在第三方网站中点击某个按钮（被装饰的按钮），实际上是点击了 A 网站的按钮。
4.2 如何防御 设置X-FRAME-OPTIONSX-FRAME-OPTIONS是一个 HTTP 响应头，在现代浏览器有一个很好的支持。这个 HTTP 响应头 就是为了防御用 iframe 嵌套的点击劫持攻击。
DENY: 表示页面不允许通过 iframe 的方式展示
SAMEORIGIN: 表示页面可以在相同域名下通过 iframe 的方式展示
ALLOW-FROM: 表示页面可以在指定来源的 iframe 中展示
5：SQL注入 5.1：SQL注入是什么 SQL注入是一种常见的Web安全漏洞，攻击者利用数据库这个漏洞，可以访问或修改数据，或者利用潜在的数据库漏洞进行攻击。
5.2：SQL注入攻击过程 比如在前端的登录表单提交时
后端的 SQL 语句可能是如下这样的：
let querySQL = `
SELECT *
FROM user
WHERE username='${username}'
AND psw='${password}'
`;
如果有一个恶意攻击者输入的用户名是 admin' --，密码随意输入，就可以直接登入系统了,因为
SELECT * FROM user WHERE username='admin' --' AND psw='xxxx'
在 SQL 中,' --是闭合和注释的意思，--是注释后面的内容的意思，所以查询语句就变成了：
SELECT * FROM user WHERE username='admin'
所以，一次SQL注入的过程包括以下几个过程：
1.获取用户请求参数SQL注入的本质:数据和代码未分离，即数据当做了代码来执行。
5.3：SQL注入防御 1：严格限制Web应用的数据库的操作权限，给此用户提供仅仅能够满足其工作的最低权限，从而最大限度的减少注入攻击对数据库的危害
6：OS注入 6.1：OS注入是什么 OS注入和SQL注入类似，OS命令注入是针对操作系统的攻击。OS命令注入攻击指通过Web应用，执行非法的操作系统命令达到攻击的目的。只要在能调用Shell函数的地方就有存在被攻击的风险。倘若调用Shell时存在疏漏，就可以执行插入的非法命令。因为命令注入攻击可以向Shell发送命令，让Windows或Linux操作系统的命令行启动程序。也就是说，通过命令注入攻击可执行操作系统上安装着的各种程序。
6.2：OS注入攻击过程 假如需要实现一个需求：用户提交一些内容到服务器，然后在服务器执行一些系统命令去返回一个结果给用户
// 以 Node.js 为例，假如在接口中需要从 github 下载用户指定的 repo
const exec = require('mz/child_process').exec;
let params = {/* 用户输入的参数 */};
exec(`git clone ${params.repo} /some/path`);
params.repo传入的是 https://github.com/admin/admin.github.io.git 确实能从指定的 git repo 上下载到想要的代码。https://github.com/xx/xx.git && rm -rf /* &&恰好你的服务是用 root 权限起的就糟糕了。
6.3：OS注入防御
后端对前端提交内容进行规则限制（比如正则表达式）。
在调用系统命令前对所有传入参数进行命令行参数转义过滤。
不要直接拼接命令语句，借助一些工具做拼接、转义预处理
