xss植入_使用CSP技术解决前端XSS攻击,防止广告注入H5页面

问题由来：最近在升级公司APP中的积分功能，APP使用的是React

Native,积分部分则是嵌入的H5页面，回家测试连接上家里WIFI后测试，发现打开积分页面广告满天飞，都已经影响到我使用主要功能了，有时候还导致app强制退出。

和同事商量后，同事提高了服务器上项目文件的权限，提高到只读权限，效果稍微好一些，但还有广告，问了一下度娘，度娘说的其中一种原因是http劫持，解决办法就是加密成https，由于种种原因公司项目无法将服务换成https,则使用以下解决办法。

什么是XSS跨站脚本攻击？

XSS跨站脚本攻击是代码注入的一种，它指的是攻击者在网页中嵌入客户端脚本(例如js脚本)，当用户浏览该网页时攻击脚本就会在用户的浏览器上运行，脚本就可以恶意盗取用户敏感信息、将用户重定向到其他网站、利用被攻击者身份执行一些管理操作或常规操作(如发微博、发私信)等等。

一般分为两类：

1.反射性XSS

反射性XSS，是指攻击者将脚本加入URL的参数中，

诱骗用户点击URL，服务器解析后响应，在返回的响应中隐藏和嵌入攻击者的XSS代码(如直接在页面输出脚本内容)，被浏览器执行，从而攻击用户。这样的URL通常较长，容易识别，但如果攻击者使用短网址服务将网址缩短，用户就很难辨别了。

2.存储型XSS

存储型XSS是指攻击者将恶意数据提交到服务器，并且在其中嵌入攻击脚本，并且放在其他用户可以看到的地方，如评论、文章等。这样在其他用户浏览该页面时，就会从服务器请求这部分数据，从而被攻击。