Web页面安全之XSS、CSPF攻击

一、概要：浏览器安全可以分为三大块 — Web页面安全、浏览器网络安全、浏览器系统安全

二、为了安全，浏览器引入的同源策略。

> 同源策略，即如果两个URL的协议、域名和端口号相同，我们就称这两个URL为同源。同源之间可以相互操作DOM，同源之间共享相同的Cookie、IndexDB、LocalStorage。同源之间可以用 XMLHttPRequest 等方式发送数据到站点(服务器)。而非同源站点之间不允许上述操作。

但是若是严格执行 同源策略 ，将所有非同源的url限制了，那么Web变得不再开放，违反了web的初衷，并使得Web项目难以开发。

那么，我们需要为灵活性，出让一些安全性。比如 禁止ajax访问非同源，但是标签中的src可以嵌入、访问第三方资源。

为灵活性开的三个口子 ：

1. 页面中可以嵌入第三方资源。有src属性标签 拥有了跨域的能力，诞生了jsonp等技术。

2. 跨域资源共享（CORS）。该机制允许跨域访问控制，让跨域数据传输得以安全进行，比如 设置origin请求头，而服务器设置让那些域名可以跨域访问本站点的资源。

3. 跨文档消息机制。让不同源的页面之前操作dom，window.postMessge。

三、现有跨域机制中，