web安全，常见的攻击以及如何防御

1、CSRF攻击
CSRF即Cross-site request forgery(跨站请求伪造)

CSRF 攻击的本质是利用 cookie 会在同源请求中主动携带发送给服务器的特点，以此来实现用户的冒充。

（1）表单带一个后端生成的 token，或用XMLHttpRequest附加在header里。

<form action="example.com/swap" method="POST">
  <input type="hidden" name="token" value="aaaabbbb">
  ...
</form>

（2）设置cookie属性SameSite 为Strict或Lax。基本就杜绝了 CSRF 攻击，当然，前提是用户浏览器支持 SameSite 属性。

（3）验证 HTTP Origin或Referer 字段。记录了该 HTTP 请求的来源地址。缺点：Referer 值是由浏览器提供的，因为浏览器限制，不能手动添加和修改referer请求头。使用验证 Referer 值的方法，就是把安全性都依赖于第三方（即浏览器）来保障，从理论上来讲，这样并不安全。对于某些浏览器，比如 IE6 ，目前已经有一些方法可以篡改 Referer 值。用户自己也可以设置浏览器使其在发送请求时不再提供 Referer。

（4）提交验证码。在表单中添加一个随机的数字、字母、图片（缺失一块位置，拖动补齐）验证码。通过强制用户和应用进行交互来有效地遏制CSRF攻击。

参考：

CSRF防御之token认证_csrf token-CSDN博客

2、XSS攻击
XSS即Cross Site Scripting（跨站脚本攻击），攻击者通过各种方式将恶意代码注入到用户的页面中，这样就可以通过脚本进行一些操作。

接口安全

防篡改

1、采用 https

2、对参数做签名，md5(json(param)

防重放

基于timestamp和nonce的方案

每次HTTP请求，都需要加上timestamp参数，然后把timestamp和其他参数一起进行数字签名。因为一次正常的HTTP请求，从发出到达服务器一般都不会超过60s，所以服务器收到HTTP请求之后，首先判断时间戳参数与当前时间相比较，是否超过了60s，如果超过了则认为是非法的请求。

nonce 的意思是仅一次有效的随机字符串，要求每次请求时该参数要保证不同。实际使用用户信息+时间戳+随机数等信息做个哈希之后，作为 nonce 参数。将每次请求的nonce参数存储到一个“集合”中，可以json格式存储到数据库或缓存中。 每次处理HTTP请求时，首先判断该请求的nonce参数是否在该“集合”中，如果存在则认为是非法请求。

请求头中携带timestamp，nonce，sign

sign = md5(nonce+timestamp+json(param))

基于 timestamp 方案可以让黑客只能在 60s 内进行重放攻击，加上 nonce 随机数以后可以保证接口只能被调用一次，可以很好的解决重放攻击问题。

基于 nonce + timestamp解决SpringBoot中的接口安全问题-duidaima 堆代码