js mysql安全_前端安全漏洞与防范

前端安全漏洞与防范

跨站脚本攻击XSS

定义

XSS (Cross-Site Scripting)，跨站脚本攻击，因为缩写和 CSS重叠，所以只能叫 XSS。跨站脚本攻

击是指通过存在安全漏洞的Web网站注册用户的浏览器内运行非法的非本站点HTML标签或

JavaScript进行的一种攻击。

危害

利用虚假输入表单骗取用户个人信息。

利用脚本窃取用户的Cookie值，被害者在不知情的情况下，帮助攻击者发送恶意请求。

显示伪造的文章或图片。

获取页面数据

获取Cookies

劫持前端逻辑

发送请求

偷取网站的任意数据

偷取用户的资料

偷取用户的秘密和登录态

欺骗用户

实施

反射型：url参数直接注入

存储型：存储到DB后读取时注入

防御

启用XSS过滤

内容安全策略 (CSP, Content Security Policy)

是一个附加的安全层，用于帮助检测和缓解某

些类型的攻击，包括跨站脚本 (XSS) 和数据注入等攻击。 这些攻击可用于实现从数据窃取到

网站破坏或作为恶意软件分发版本等用途。

CSP 本质上就是建立白名单，开发者明确告诉浏览器哪些外部资源可以加载和执行。我们只

需要配置规则，如何拦截是由浏览器自己实现的。我们可以通过这种方式来尽量减少 XSS 攻

击。

转义字符

用户的输入永远不可信任的，最普遍的做法就是转义输入输出的内容，对于引号、尖括号、斜杠

进行转义

黑名单

白名单

跨站请求伪造CSRF

定义

CSRF(Cross Site Request Forgery)，即跨站请求伪造，是一种常见的Web攻击，它利用用户已登

录的身份，在用户毫不知情的情况下，以用户的名义完成非法操作。

危害

利用用户登录态

用户不知情

完成业务请求

盗取用户资金(转账，消费)

冒充用户发帖背锅

损害网站声誉

防御

禁止第三方网站带Cookie - 有兼容性问题

Referer Check - Https不发送referer

点击劫持

定义

点击劫持是一种视觉欺骗的攻击手段。攻击者将需要攻击的网站通过 iframe 嵌套的方式嵌入自己

的网页中，并将 iframe 设置为透明，在页面中透出一个按钮诱导用户点击。

防御

X-FRAME-OPTIONS

X-FRAME-OPTIONS 是一个 HTTP 响应头，在现代浏览器有一个很好的支持。这个 HTTP 响应头 就

是为了防御用 iframe 嵌套的点击劫持攻击。

该响应头有三个值可选

DENY，表示页面不允许通过 iframe 的方式展示

SAMEORIGIN，表示页面可以在相同域名下通过 iframe 的方式展示

ALLOW-FROM，表示页面可以在指定来源的 iframe 中展示

js方式

`