一.web安全的关键点

1.数据指令
用浏览器打开一个网站，呈现的都是数据。服务端（数据库、内存、文件系统）；客户端存储（cookies、flash cookies）；传输中（JSON数据、XML数据）；文本数据（HTML、JavaScript、CSS）；多媒体数据（MP3，flash、video）；图片数据..等等

常见的攻击场景
1.SQL 注入攻击
2.XSS跨站脚本攻击

2.浏览器的同源策略
计算机的本地于web是不同的层面，web世界（通常称为Internet域），运行在浏览器上，而被限制了直接进行本地数据（通常称为本地域）的读写。
同源策略规定：不同域的客户端脚本在没有明确的授权的情况下，本能读写对方的资源。

1.不同域或者同域
同域要求两个站点同协议、同域名、同端口。
2.客户端脚本
客户端脚本主要指JavaScript、ActionScript（flash 的脚本语言）；
3.授权
4.读写权限
web上有资源有很多，有的只有读取权限，有的同时具有读和写的权限；同源策略里的资源主要是指web客户端的资源。包括（http消息头、整个document树、浏览器存储）；客户端的安全威胁都是围绕这些资源进行的。

3.信任与信任关系
安全的攻防都是围绕着信任进行的。信任导致建立了一种信任关系，很多黑客的攻防都是围绕这种信任关系进行的。

4.攻防不单一
一次完整的渗透，会用到各种攻击手法。
5.其他可能会被攻击的场景