安全校验相关

安全校验

xss跨站脚本攻击（Cross Site Scripting）

1. 伪造会话（基于XSS实现CSRF）
2. 劫持cookie
3. 恶意代码执行
4. 可用Antisamy框架

跨域

csrf（Cross Site Request Forgery) 跨站请求伪造

伪造用户身份操作

为什么 Cookie 无法防止 CSRF 攻击，而 Token 可以

• CSRF攻击只是借用了Cookie,并不能获取Cookie中的息，所以不能获取Cookie中的token

不论是 Cookie 还是 Token 都无法避免 跨站脚本攻击（Cross Site Scripting）XSS 。

防护策略

• 自动防御策略

  • 同源检测（Origin 和 Referer 验证）。

• 主动防御措施

  • Token验证 或者 双重Cookie验证 以及配合Samesite Cookie。

• 保证页面的幂等性，后端接口不要在GET页面中做用户操作。

sql注入