一、简介
XSS(跨站脚本)攻击是一种网络安全威胁,允许攻击者注入恶意脚本到看似安全的网站。
当用户浏览这些被注入恶意代码的网页时,恶意脚本会在用户的浏览器环境中执行,这可能导致多种安全问题,如窃取敏感数据、劫持用户会话等。
XSS主要有三种类型:
- 反射型 XSS:通过恶意链接传播,脚本不在服务器上存储。
- 存储型 XSS:恶意脚本存储在服务器上,通过用户提交的内容传播。
- DOM 基于的 XSS:通过篡改页面的 DOM 结构来执行恶意脚本。
这些攻击利用了应用程序对用户输入处理不当的问题。预防方法包括输入验证、输出编码等。
二、防止攻击配置
1-yml文件配置
# 防止XSS攻击
xss:
# 过滤开关
enabled: true
# 排除链接(多个用逗号分隔)
excludes: /system/notice
# 匹配链接
urlPatterns: /system/*,/monitor/*,/tool/*