什么是XSS攻击，如何防范XSS攻击？

XSS攻击

概念

XSS攻击是指跨站脚本攻击，是一种代码注入式攻击。攻击者通过在网站注入恶意脚本，使之在用户的浏览器上运行，从而盗取用户的信息如Cookie等。

本质

XSS本质是因为网站没有对恶意代码进行过滤，与正常的代码混合在一起了，浏览器没有办法分辨哪些脚本是可信的，从而导致了恶意代码的执行。

攻击类型

XSS一般分为存储型，反射型，DOM型

存储型

指的是恶意代码提交到了网站的数据库中，当用户请求数据的时候，服务器将其拼接为HTML后返回给了用户，从而导致恶意代码的执行。

反射型

反射型指的是攻击者构建了特殊的URL，当服务器接收到请求时，从URL中获取数据，拼接到HTML后返回，从而导致了恶意代码的执行

DOM型

攻击者构建了特殊的URL，用户打开网站后，JS脚本从URL在获取数据，从而导致了恶意代码的执行

预防

预防可以从两个方面去入手，一个是恶意代码提交的时候，一个是浏览器执行恶意代码的时候

1.恶意代码提交的时候

如果我们对存入数据库的数据都进行转义处理，但是一个数据可能在多个地方使用，有的地方可能不需要转义处理，由于我们没有办法去判断数据最后的使用场景，所以直接在输入端进行恶意代码的处理，其实是不太可靠的。

2.从浏览器的执行来进行预防

		 一种是使用纯前端的方式，不用服务器端拼接后返回。
		 另一种是对需要插入到HTML中的代码做好充分的转义。**

还可以使用CSP（CSP的本质是建立一个白名单，告诉浏览器哪些外部资源可以进行加载和执行，从而防止恶意代码的注入攻击）