一、网络安全
OWASP：开放式Web应用程序安全项目（OWASP，Open Web Application Security Project）
OWASP是一个开源的、非盈利的全球性安全组织，致力于应用软件的安全研究。 http://www.owasp.org.cn/
二、XSS攻击
1、总述
2、XSS攻击原理
XSS攻击（Cross-Site Scripting）跨站脚本攻击。 被OWASP评为十大安全漏洞中的第二威胁漏洞。
特点：能注入恶意的HTML/JavaScript代码到用户浏览的网页上，从而达到Cookie资料窃取、会话劫持、钓鱼欺骗等攻击。<攻击代码不一定（非要）在 中>
原因：a：Web浏览器本身的设计不安全。浏览器能解析和执行JS等代码，但是不会判断该数据和程序代码是否恶意。
b：输入和输出是Web应用程序最基本的交互，而且网站的交互功能越来越丰富。如果在这过程中没有做好安全防护，很容易会出现XSS漏洞。
c：程序员水平参差不齐，而且大都没有过正规的安全培训，没有相关的安全意识。
d：XSS攻击手段灵活多变。
3、防御XSS攻击
a：HttpOnly 浏览器禁止页面的JS访问带有HttpOnly属性的Cookie。
b：输入检查 XSS Filter 对输入内容做格式检查，类似“白名单”，可以让一些基于特殊字符的攻击失效。在客户端JS和服务器端代码中实现相同的输入检查（服务器端必须有）。
c：输出检查 在变量输出到html页面时，可以使用编码或转义的方式来防御XSS攻击 HtmlEncode：将字符转成HTMLEntities，对应的标准是ISO-8859-1。
& --> & < --> < > -->> " --> " ' --> ' / --> /
JS中可以使用JavascriptEncode。需要对“\”对特殊字符转义，输出的变量的必须在引号内部。
d：XSS的本质是“HTML注入”，用户的数据被当成了HTML代码一部分来执行，从而混淆了原本的语义，产生了新的语义。
在Html标签中输出：
或者 $var
在标签中输出的变量，如果未做任何处理，都能导致直接产生XSS：构造一个