关于web安全--CSRF和XSS
Posted 静谧coding
tags:
篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了关于web安全--CSRF和XSS相关的知识，希望对你有一定的参考价值。
CSRF:跨站请求伪造。
攻击原理：一个用户登陆了可信的网站A，身份验证后A会下发一个cookie；此时用户又打开了另一个危险网站B，B引诱用户点击连接（该链接会访问A的接口），由于此时会携带cookie，网站A认为这个请求是合法的，就执行了该请求。
防范措施：
1.接口增加token
2.refer验证，验证HTTP请求的来源地址
参考资料 https://www.ibm.com/developerworks/cn/web/1102_niugang_csrf/
XSS：跨域脚本攻击
攻击原理：向页面注入脚本，在脚本中执行攻击
防范措施：
1.编码：对用户输入的数据进行html Entity编码
2.过滤：对用户输入中可能存在危险的元素进行过滤，如style、script iframe
以上是关于关于web安全--CSRF和XSS的主要内容，如果未能解决你的问题，请参考以下文章