前端安全

前端安全

• XSS （Cross site script）
• CSRF （Cross-site request forgery）

Xss

攻击者提交参数，服务端解析参数后返回浏览器，并渲染。浏览器端执行相应代码。

• 提交参数

  • URL参数
  • 评论留言板

• 注入到哪里

  • 标签的src，href属性，包含 javascript: 等可执行代码
  • onload，onclick等事件中，注入代码
  • style 属性，如background-image:url("javascript:...");

1. 解决方法

浏览器端渲染相应内容时对字符进行过滤操作。

CSRF

攻击者诱导用户访问第三方网站，在第三方网站上，向被攻击网站发送跨站请求。

1. 解决方案

同源策略

禁止处理第三方上发出的请求，启用同源策略。发出请求时，http协议的头信息中带有

• Origin Header
• Referer Header

请求时带上tokoen