安全漏洞相关

 https://www.cnblogs.com/zs-note/p/11122483.html

xss跨站脚本攻击

1 对数据进行HTML编码，使脚本代码变成普通字符串
2 此外还有URL，json编码
3 设置http头

iframe攻击

1 设置安全属性sandbox
    如设置sandbox为空，将严格限制iframe的权限，会跨域

点击劫持：将iframe页面设置透明置于正常页面上方

错误的内容响应
攻击者将js脚本当做图片上传，而后被浏览器误读
可以设置X-Content-Type-Options这个HTTP Header明确禁止浏览器去推断响应类型。

第三方依赖包漏洞

使用工具扫描

使用SSL Stripping使https降级成http

在http header预加载，强制使用https

Strict-Transport-Security: max-age=<seconds>; includeSubDomains; preload

本地存储数据泄露

1 加密储存

缺乏静态资源完整性校验

为提高访问速度，将静态资源放在CDN上，因此产生被劫持污染文件的风险

使用SRI功能，在资源文件中加入SRI值，浏览器处理时校验intefrity属性是否一致

	cookie	session
状态	浏览器端	服务器端
存储	以文本方式保存字符串类型	支持任何类型的对象
大小	单个cookie不能超过4kb	无限制
安全性	cookie欺骗，截获	更高，存在加密的sessionID校验，存在cookie中
应用	判断是否登录，存token	保存登录信息，userid等

	sessionStorage	localStorage
生命周期	临时保存，关闭窗口即消失	永久保存
大小	5M	5M
位置	客户端	客户端
类型	字符串	字符串