解决跨站脚本注入，跨站伪造用户请求，sql注入等http安全漏洞

跨站脚本就是在url上带上恶意的js关键字然后脚本注入了，跨站伪造用户请求就是没有经过登陆，用超链接或者直接url上敲地址进入系统，类似于sql注入这些都是安全漏洞。

• sql注入

1、参数化查询预处理，如java使用PreparedStatement()处理变量。
2、转义敏感字符及字符串(SQL的敏感字符包括“exec”,”xp_”,”sp_”,”declare”,”Union”,”cmd”,”+”,”//”,”..”,”;”,”‘”,”--”,”%”,”0x”,”><=!-*/()|”,和”空格”)。
3、屏蔽出错信息：阻止攻击者知道攻击的结果。
4、在服务端正式处理之前对提交数据的合法性(合法性检查主要包括三项:数据类型,数据长度,敏感字符的校验)进行检查等，在确认客户端的输入合法之前，服务端拒绝进行关键性的处理操作。

• 跨站脚本

一般性建议：转义或过滤客户端提交的危险字符，客户端提交方式包含GET、POST、COOKIE、User-Agent、Referer、Accept-Language等，其中危险字符如下：
建议转义或过滤以下字符：
[1] |（竖线符号）
[2] & （& 符号）
[3];（分号）
[4] $（美元符号）
[5] %（百分比符号）
[6] @（at 符号）
[7] '（单引号）
[8] ""（引号）
[9] \'（反斜杠转义单引号）
[10] \""（反斜杠转义引号）
[11] <>（尖括号）
[12] ()（括号）
[13] +（加号）
[14] CR（回车符，ASCII 0x0d）
[15] LF（换行，ASCII 0x0a）
[16] ,（逗号）
[17] \（反斜杠）
[18]  （空格）
[19] . （点号）
过滤以下关键字、标签：alert、img、script、document、document.title、document.write、eval、prompt、onclick、onerror、onmouseenter、onreadystatechange、confirm、javascript、String.fromCharCode、onload、DYNSRC、LOWSRC、behavior、vbscript、msgbox、mocha、livescript、expression。

开发语言的建议：
[1]严格控制输入：
    Asp：request
    Aspx：Request.QueryString、Form、Cookies、SeverVaiables等
    Php：$_GET、$_POST、$_COOKIE、$_SERVER、$_GlOBAL、$_REQUEST等
    Jsp