web安全的那点事儿

最近看了一些关于web安全的书

首先常用的功能是用黑名单和白名单。

第一点，xss攻击：通常指的的在页面渲染的时候，攻击者通过注入恶意的html代码，进而在用户浏览网页的时候，对用户的浏览器进行攻击，控制浏览器。      

xss有多种类型，第一中是反射型xss，这个往往需要诱使用户点击一个恶意的链接

第二种：存储型xss，这种xss会把用户输入的数据存储在服务器端，有很强的稳定性。

防御的好的办法：

设置httponly，输入检查，使用xss filter，变量输出的时候使用编码或转义的方式来防御xss攻击。 htmlEncode

htmlparser会优先于jsparser

csrf：cookie有两种，一种是session cookie是一种临时的cookie，这种cookie没有empiore时间，所以如果关闭浏览器后记不会再有（失效了），对于本地cookie是保持在本地里面，同时有一个过期的时间。

csrf的防御：1.用验证码解决。

2。referer check用检查请求是不是来自合法的源。

3。最好的办法是使用一个token，token可以放在服务器的session中，也可以放在用户的cookie中。也可以防止重复提交。

sql注入：使用预编译语句，绑定变量。

密码加密

点击劫持

认证和会话管理：session和会话的安全

访问控制L：给予尽量少的权限。、

ajax请求中，插入一个保护token的htto头。

在session中绑定token，也可以在cookie中，form表单提交的时候自动填入token，这个需要配置。

十点半了，先回去了，下次再写