https://www.cnblogs.com/zs-note/p/11122483.html
xss跨站脚本攻击
1 对数据进行HTML编码,使脚本代码变成普通字符串
2 此外还有URL,json编码
3 设置http头
iframe攻击
1 设置安全属性sandbox
如设置sandbox为空,将严格限制iframe的权限,会跨域
点击劫持:将iframe页面设置透明置于正常页面上方
错误的内容响应
攻击者将js脚本当做图片上传,而后被浏览器误读
可以设置X-Content-Type-Options这个HTTP Header明确禁止浏览器去推断响应类型。
第三方依赖包漏洞
使用工具扫描
使用SSL Stripping使https降级成http
在http header预加载,强制使用https
Strict-Transport-Security: max-age=<seconds>; includeSubDomains; preload
本地存储数据泄露
1 加密储存
缺乏静态资源完整性校验
为提高访问速度,将静态资源放在CDN上,因此产生被劫持污染文件的风险
使用SRI功能,在资源文件中加入SRI值,浏览器处理时校验intefrity属性是否一致
cookie | session | |
状态 | 浏览器端 | 服务器端 |
存储 | 以文本方式保存字符串类型 | 支持任何类型的对象 |
大小 | 单个cookie不能超过4kb | 无限制 |
安全性 | cookie欺骗,截获 | 更高,存在加密的sessionID校验,存在cookie中 |
应用 | 判断是否登录,存token | 保存登录信息,userid等 |
sessionStorage | localStorage | |
生命周期 | 临时保存,关闭窗口即消失 | 永久保存 |
大小 | 5M | 5M |
位置 | 客户端 | 客户端 |
类型 | 字符串 | 字符串 |