前端安全小结

1.XSS(Cross Site Script)跨站脚本攻击

    XSS指的是恶意攻击者往web页面里插入恶意的HTML代码,当用户浏览该页面时,嵌入web当中里面的HTML代码会被运行,从而达到恶意攻击用户的特殊目的。分为三种类型的XSS:反射型、存储型和DOM。

    反射型XSS:

    发请求时,XSS代码出现在URL中,提交给服务器端。服务器端范湖的内容,也带上了这段XSS代码,最后浏览器执行了这段XSS代码。

    存储型XSS:

    存储型和反射型的区别就是,提交的XSS代码会存储在服务器端,是最危险的。

    DOM XSS:

    与前两种的区别在于DOM XSS不需要服务器端参与,可以认为是前端代码漏洞导致的。

    一些防御的手段:

    过滤转义输入输出;避免使用eval、new Function等执行字符串的方法;对于客户端的cookie,比如保存用户凭证的session务必标识为 http only。

2.CSRF(Cross Site Request Forgery),跨站请求伪造

    强迫受害者的浏览器向一个易受攻击的web应用程序发送请求,最后达到攻击者所要的操作行为。XSS是利用用户对网站的信任,而CSRF则是利用网站对对用户的信任来发起攻击的。

   

你可能感兴趣的:(About,WEB)