web安全之XSS攻击原理及防范

代码如下：

点击一样也会弹窗窗口的。也会一样执行xss攻击的。

3. 使用location/location.href/location.replace/iframe.src 造成的XSS

如下代码：

刷新下页面，也会弹出窗口执行 xss攻击了。

[](()cookie安全策略

=============================================================================

在服务器端设置cookie的时候设置 http-only, 这样就可以防止用户通过JS获取cookie。对cookie的读写或发送一般有如下字段进行设置：

• http-only: 只允许http或https请求读取cookie、JS代码是无法读取cookie的(document.cookie会显示http-only的cookie项被自动过滤掉)。发送请求时自动发送cookie.

• secure-only: 只允许https请求读取，发送请求时自动发送cookie。

• host-only: 只允许主机域名与domain设置完成一致的网站才能访问该cookie。

[](()X-XSS-Protection设置

=====================================================================================

目前该属性被所有的主流浏览器默认开启XSS保护。该参数是设置在响应头中目的是用来防范XSS攻击的。它有如下几种配置：

值有如下几种：默认为1.

• 0：禁用XSS保护。

• 1：启用XSS保护。

1;mode=block; 启用xss保护，并且在检查到XSS攻击是，停止渲染页面。

[](()XSS防御HTML编码

========================