前端安全防范

CSRF攻击

（图片来源网络）

防范措施：

利用同源策略，不允许外域进行接口访问

前后端接口添加验证信息， 比如 规定使用某种编码方式编码解码当前日期

 

XSS攻击

（图片来源网络）

 

反射型XSS利用过程

    1. 恶意的攻击者发给受害者一个链接(链接中携带xss代码)

    2. 攻击者诱使受害者点开这个链接

    3. XSS代码被提交到有XSS漏洞的Web应用程序上

    4. WEB应用程序没有过滤提交上来的数据，或者过滤不严格。

    5. WEB应用程序输出用户提交上来的数据(包含XSS代码)。

    6. 用户浏览器渲染返回的HTML页面，执行返回的JavaScript代码

    7. 恶意的javascript代码在后台悄悄执行，获取用户信息

存储型XSS利用过程

    1. 恶意的攻击者让存在XSS漏洞的网站提交一段XSS代码

    2. Web应用程序接受提交数据，没有过滤或者过滤不严格

    3. 写入到数据库中

    4. 受害者访问这个存在XSS恶意代码的页面时

    5. Web应用程序从数据库读取去之前恶意攻击者提交的数据

    6. Web应用服务器返回这段数据

    7. 受害者浏览器渲染返回的HTML页面，执行返回的JavaScript代码

    8. 恶意的javascript代码在后台悄悄执行，获取用户信息

美团对xss的介绍与安全对策