web安全防范？XSS和CSRF【前端每日一题-18】

对前端安全了解多少？了解XSS和CSRF的防范手段吗？

这是一道发散题，主要考察你对web安全的知识。

XSS （Cross Site Script）跨站脚本攻击

XSS 的原理是恶意攻击者往 Web 页面里插入恶意可执行网页脚本代码，当用户浏览该页之时，嵌入其中 Web 里面的脚本代码会被执行，从而可以达到攻击者盗取用户信息或其他侵犯用户安全隐私的目的。

非持久型

也叫反射型 XSS 漏洞，一般是通过给别人发送带有恶意脚本代码参数的 URL，当 URL 地址被打开时，特有的恶意代码参数被 HTML 解析、执行。

持久型

也被称为存储型 XSS 漏洞，一般存在于 Form 表单提交等交互功能，如发帖留言，提交文本信息等，黑客利用的 XSS 漏洞，将内容经正常功能提交进入数据库持久保存，当前端页面获得后端从数据库中读出的注入代码时，恰好将其渲染执行。

防范方法

•  Web 页面渲染的所有内容或者渲染的数据都必须来自于服务端。
• 前端渲染的时候对任何的字段都需要做 escape 转义编码。
  
• 后端在入库前应该选择不相信任何前端数据，将所有的字段统一进行转义处理。
  
• 后端在输出给前端数据统一进行转义处理。
  
• 前端在渲染页面 DOM 的时候应该选择不相信任何后端数据，任何字段都需要做转义处理。
  

CSRF（Cross-Site Request Forgery）跨站伪造请求

攻击者可以盗用你的登陆信息，以你的身份模拟发送各种请求。攻击者只要借助少许的社会工程学的诡计，例如通过 QQ 等聊天软件发送的链接(有些还伪装成短域名，用户无法分辨)，攻击者就能迫使 Web 应用的用户去执行攻击者预设的操作。

防范方法

• 渲染表单的时候，为每一个表单包含一个 csrfToken，提交表单的时候，带上 csrfToken，然后在后端做 csrfToken 验证。
• 每个 POST 请求使用验证码，这个方案算是比较完美的，但是需要用户多次输入验证码，用户体验比较差，所以不适合在业务中大量运用。
  

SQL注入

SQL 注入漏洞（SQL Injection）是 Web 开发中最常见的一种安全漏洞。可以用它来从数据库获取敏感信息，或者利用数据库的特性执行添加用户，导出文件等一系列恶意操作，甚至有可能获取数据库乃至系统用户最高权限。

防范方法

• 对进入数据库的特殊字符（’，”，\，<，>，&，*，; 等）进行转义处理，或编码转换。

参考文档：

常见web安全攻防总结

转载于:https://juejin.im/post/5d413eeb6fb9a06b2116c5f8