Web安全（前端）

WEB基本攻击大致可以分为三大类—— “资源枚举”、“参数操纵” 和 “其它攻击”。

参数操纵：SQL注入、XPath注入、cgi命令执行，还有XXS和会话劫持等。前三个的攻击主要是在服务端触发的，后二者的攻击则是侧重于客户端。

解决方案

综上所述，我们可以这样审视我们的WEB站点：

1. 对客户端传来的任何信息都应先进行编码或过滤处理；

2. 谨慎返回用户输入的信息；

3. 使用黑名单和白名单处理（即“不允许哪些敏感信息”或“只允许哪些信息”，白名单的效果更好但局限性高）；

4. 检查、验证请求来源，对每一个重要的操作都进行重新验证；

5. 使用SSL防止第三方监听通信（但无法阻止XSS、CSRF、SQL注入攻击）；

6. 不要将重要文件、备份文件存放在公众可访问到的地方；

7. 会话ID无序化；

8. 对用户上传的文件进行验证（不单单是格式验证，比方一张gif图片还应将其转为二进制并验证其每帧颜色值<无符号8位>和宽高值<无符号16位>）；

9. WSDL文档应当要求用户注册后才能获取；

10. 在报头定义CSP（Content Security Policy）；

详情