web安全

1.CIA三元：
机密性Confidentiality，机密性是防止未授权的用户访问数据
完整性Integrity，完整性是防止未授权的修改数据
可用性Availability，保证经过授权的客户能及时准确的不间断的访问数据
两大攻击
2. XSS攻击：
黑客可以在网页插入一段恶意的js代码，窃取私人信息，冒充用户身份做一些操作，这就是XSS攻击（跨站脚本攻击），浏览器无法区分是恶意还是正常的操作都会执行，XSS攻击的类型：
1）反射型：恶意js脚本属于用户向服务器发送请求的一部分，随后服务器会向用户返回这部分内容，最终显示给用户，服务端逻辑会改变最终网页代码，代码一般在URL里
2）存储型：又叫持久型XSS攻击，将恶意js代码长期保存在服务器端数据库中，用户一旦访问相关页面，恶意代码就会执行。
两者都属于服务型的漏洞，前端自身的漏洞，js可以改变dom（基于DOM型XSS攻击）
可以（盗取用户 Cookie 、未授权操作、修改 DOM、刷浮窗广告、发动 XSS 蠕虫攻击、劫持用户行为，进一步渗透内网）
防止：
在输出时进行验证、将 HTML 元素内容、属性以及 URL 请求参数、CSS 值进行编码、当编码影响业务时，使用白名单规则进行检测和过滤使、用 W3C 提出的 CSP (Content Security Policy，内容安全策略)，定义域名白名单设置 Cookie 的 HttpOnly 属性

反射型：

存储型：

CSRF攻击：
就是黑客引诱用户打开黑客的网站，利用用户的登陆状态发起跨站请求。攻击者诱导受害者进入第三方网站，在第三方网站中，向被攻击网站发送跨站请求。利用受害者在被攻击网站已经获取的注册凭证，绕过后台的用户验证， 达到冒充用户对被攻击的网站执行某项操作的目的。
通过以下方式实现：
最容易实现的是 Get 请求，一般进入黑客网站后，可以通过设置 img的 src 属性来自动发起请求
在黑客的网站中，构造隐藏表单来自动发起 Post 请求
通过引诱链接诱惑用户点击触发请求，利用 a 标签的 href
无法彻底防止CSRF攻击
防范：
针对实际情况，设置关键 Cookie 的 SameSite 属性为 Strict 或 Lax（Cookie 的SameSite属性用来限制第三方 Cookie，从而减少安全风险。当一个请求本身的 URL 和它的发起页面的 URL 不属于同一个站点时，这个请求就算第三方请求。
Set-Cookie: CookieName=CookieValue; SameSite=Lax;
Strict：过于严格，同一个网站跳转页面时，登录状态都不能保存，用户体验差
Lax：
）
对敏感操作加入token验证
二次密码确认

参考：
https://juejin.im/post/5e78d298f265da576a57a6bc 详细且有趣
https://blog.csdn.net/weixin_44269886/article/details/102459425?ops_request_misc=%257B%2522request%255Fid%2522%253A%2522159047439019724846452057%2522%252C%2522scm%2522%253A%252220140713.130102334…%2522%257D&request_id=159047439019724846452057&biz_id=0&utm_medium=distribute.pc_search_result.none-task-blog-2_blogfirst_rank_v2~rank_blog_default-2-102459425.pc_v2_rank_blog_default&utm_term=Cookie+%E7%9A%84+SameSite