前端安全
- XSS （Cross site script）
- CSRF （Cross-site request forgery）
Xss
攻击者提交参数，服务端解析参数后返回浏览器，并渲染。浏览器端执行相应代码。
-
提交参数
- URL参数
- 评论留言板
-
注入到哪里
- 标签的src，href属性，包含 javascript: 等可执行代码
- onload，onclick等事件中，注入代码
- style 属性，如
background-image:url("javascript:...");
-
解决方法
浏览器端渲染相应内容时对字符进行过滤操作。
CSRF
攻击者诱导用户访问第三方网站，在第三方网站上，向被攻击网站发送跨站请求。
-
解决方案
同源策略
禁止处理第三方上发出的请求，启用同源策略。发出请求时，http协议的头信息中带有
- Origin Header
- Referer Header
