前端安全

XSS
跨站脚本攻击
注入恶意代码到网页，并使用户加载执行

1. 非持久型 （url）
2. 持久性 (存入到数据库中)

防御方式
1.使用 html转义 ， 对所有外部插入的代码都应该做一次转义
3. 开启CSP防护。在HTTP响应头中设置Content-Security-Policy : ‘self’

CSRF
跨站请求伪造
在a网站中点击某个小广告 小广告中的js代码执行 向a网站发送请求
由于用户已经在a网站中登录了 因此请求携带了网站a的相关cookie凭证，最后请求成功执行.

防御方式
1.设置 cookie的sameSite属性 strick lax none
2. token
3. 服务端通过请求的Referer 和 origin 字段，判断请求来源
4. 手机验证码，邮箱验证的方式实行二次验证

XS-Leaks
跨站点泄漏,利用了对http缓存进行查询的机制，通过对资源缓存的判断进而推断出当前用户的相关信息
chrome86版本之前的缓存策略 没有域名的限制
86版本之后 为了防止XS-Leaks 对缓存资源分域名管理

防御方式
cookie sameSite
token
浏览器支持对缓存资源的分域名的管理