常见前端攻击与防范

1.什么是 XSS 攻击？如何防范 XSS 攻击？

        XSS 攻击指的是跨站脚本攻击，是一种代码注入攻击。攻击者通过在网站注入恶意脚本，使之在用户的浏览器上运行，从而盗取用户的信息如 cookie 等。XSS 的本质是因为网站没有对恶意代码进行过滤，与正常的代码混合在一起了，浏览器没有办法分辨哪些脚本是可信的，从而导致了恶意代码的执行。

        XSS 一般分为存储型、反射型和 DOM 型。

        存储型指的是恶意代码提交到了网站的数据库中，当用户请求数据的时候，服务器将其拼接在 HTML 中返回给了用户，从而导致了恶意代码的执行。这种攻击常见于带有用户保存数据的网站功能，如论坛发帖、商品评论、用户私信等。

        反射型指的是攻击者构建了特殊的 URL，当服务器接收到请求后，从 URL 中获取数据，拼接在 HTML 中返回给浏览器，从而导致了恶意代码的执行。反射型 XSS 漏洞常见于通过 URL 传递参数的功能，如网站搜索、跳转等。反射型 XSS 跟存储型 XSS 的区别是：存储型 XSS 的恶意代码存在数据库里，反射型 XSS 的恶意代码存在 URL 里。

        存储型和反射型 XSS 都是在服务端取出恶意代码后，插入到响应 HTML 里的，攻击者刻意编写的“数据”被内嵌到“代码”中，被浏览器所执行。预防这两种漏洞，有两种常见做法：1.改成纯前端渲染，把代码和数据分隔开。2.对 HTML 做充分转义。

        DOM 型指的是攻击者构建了特殊的 URL，用户打开网站后，js 脚本从 URL 中获取数据，从而导致了恶意代码的执行。DOM 型 XSS 跟前两种 XSS 的区别：DOM 型 XSS 攻击中&#