XSS 防护策略

什么是 XSS

XSS,是一种代码注入攻击。攻击者通过在目标网站上注入恶意脚本,用户访问网站后不知不觉就执行了脚本,攻击者可获取用户的敏感信息,如 Cookie、SessionID 等。

XSS 的本质是:恶意代码没有经过过滤,与网站正常的代码混在一起;浏览器无法分辨哪些脚本是可信的,导致恶意脚本被执行。

XSS 分类

根据攻击的来源,XSS 攻击可分为存储型、反射型和 DOM 型三种。

类型 存储区 插入点
存储型 XSS 后端数据库 HTML
反射型 XSS URL HTML
DOM 型 XSS 后端数据库/前端存储/URL 前端 JavaScript

防止 XSS 攻击

预防存储型和反射型 XSS 攻击

存储型和反射型 XSS 都是在服务端取出恶意代码后,插入到响应 HTML 里的;因此预防这两种漏洞,有两种常见做法:

你可能感兴趣的:(安全,web,前端,javascript)