前端有哪些安全问题如何避免？

1、xss跨站脚本攻击。一般有三种类型
（1）反射型 ：通过给别人发送带有恶意脚本代码参数的URL，当URL地址被打开时，特有的恶意代码参数被HTML解析、执
（2）存储型：XSS代码被提交给网站–>网站把XSS代码存储进数据库—>当该页面再次被请求时，服务器发送已经被植入XSS代码的数据给客户端—>客户端执行XSS代码
（3）基于Dom的css.：源于DOM相关的属性和方法（url、src等），被插入用于XSS攻击的脚本
防范xss攻击：
（1）Httponly,本质在于被攻破时候不准js读取cookie;
(2) 过滤用户输入，检测用户输入的是否非法。如<>（尖括号）、”（引号）、 ‘（单引号）、%（百分比符号）、;（分号）、()（括号）、&（& 符号）、+（加号）等。服务端也要严格控制输出。
（3）处理富文本。处理的过程是在服务端配置富文本标签和属性的白名单，不允许出现其他标签或属性（例如script、iframe、form等），即”XSS Filter“。
2、（CSRF) 跨站请求伪造
（1）譬如在网站内的图片资源中潜入恶意的转账操作
（2）.构建恶意的隐藏表单，并通过脚本提交恶意请求
防止css攻击：
（1）、 防止CSRF，检查Referer字段简单直接，但是其完全依赖浏览器发送正确的Referer字段。虽然http协议对此字段的内容有明确的规定，但并无法保证来访的浏览器的具体实现，亦无法保证浏览器没有安全漏洞影响到此字段。并且也存在攻击者攻击某些浏览器，篡改其Referer字段的可能。
（2）在请求地址中添加token并验证
（3） 验证码（图片验证码和短信验证码）
（4） 对特殊参数（比如增加的伪随机数）进行加密
3、SQL注入
（1）确定网站是否存在注入点，若存在，找到SQL注入位置
（2）判断服务器类型和后台数据库类型
（3）针对不通的服务器和数据库特点（猜测表名和列名）进行SQL注入攻击

防御SQL注入手段：
(1)采用预编译语句集，它内置了处理SQL注入的能力，只要使用它的setXXX方法传值即可。
(2)使用正则表达式过滤传入的参数（包括字符串过滤）

注意：sql注入只对sql语句的准备(编译)过程有破坏作用
而PreparedStatement已经准备好了,执行阶段只是把输入串作为数据处理,
而不再对sql语句进行解析,准备,因此也就避免了sql注入问题.