web应用安全笔记（有空就记一点点）

HTML5存储

HTML5的本地存储有localStorage、sessionStorage两种，可谓大势所趋，localStorage是存储在本地的，sessionStorage是存储内存中的，localStorage是无法跨浏览器存在，在Firefox、Chrome、Safari中存储格式是SQLite，在IE和Opera中则是XML，在Firefox、Chrome、Safari、IE中以明文方式存储，Opera中则将其以BASE64加密后存储。localStorage没有时效性，除非用户主动删除，不然永久存在。虽然这种存储方式有些地方优于Cookie，但是对于敏感性信息尽量杜绝使用localStorage存储，尤其是身份验证相关，Cookie同样会遇到攻击，不过Cookie拥有了一些防御措施，其中一点就是可以通过HttpOnly来保护Cookie不被XSS攻击，而localStorage是没有做任何针对XSS攻击的防御措施，就算对存储信息进行了加密一旦遭遇攻击也无济于事。总的就是，localStorage还不够成熟，对于敏感信息避免使用。