Java防止Xss注入json_Xss，基础与实战一步到位。

在深入了解之前Xss之前，我们先来了解一下浏览器常用的安全策略吧。

什么是源和同源策略

源就是主机，协议，端口名的一个三元组。

同源策略(Same Origin Policy, SOP)是Web应用程序的一种策略机制，该机制规定了应用程序代码可以访问的资源范围。同源策略的基本思想是，源自于某台服务器上的代码只能访问同一台服务器上的Web资源。

重要的事情说三遍：它只是个机制，而不是标准(哪怕标准在实现的时候也会千差万别)。SOP影响范围包括：普通的HTTP请求、XMLHttpRequest、XSLT、XBL。

如何判断同源

定义：给定一个页面，如果另一个页面使用的协议、端口、主机名都相同，我们则认为两个页面具有相同的源。

我们假设需要比对的目标页面来自这个URI: http://sub.eth.space/level/flower.html

同源策略究竟限制了什么？

首先，我们要明确同源策略只作用在实现了同源策略的Web客户端上。我们来看一个具有误导性的结论：百度词条对于同源策略的解释说“只有和目标同源的脚本才会被执行”，这是不对的，同源策略没有禁止脚本的执行，而是禁止读取HTTP回复。

 更正了这个概念之后，我们会发现，SOP其实在防止CSRF上作用非常有限，CSRF的请求往往在发送出去的那一瞬间就已经达到了攻击的目的，比如发送了一段敏感数据，或请求了一个具体的功能，是否能读取回复并不那么重要(唯一的作用是可以防止CSRF请求读取异源的授权Token)。另外，一般静态资源通常不受同源策略限制，如js/css/jpg/png等。

开胃小菜结束了，正餐开始喽！ Xss  概  述

全称 Cross Site Scripting ,跨站脚本攻击，因为