XSS攻击防范

前端安全系列之XSS攻击防范

1、使用textContent

2、使用HTML转义

• 把JS中的标签转成字符

3、对于链接跳转 禁止含有’javascript:'开头的字符

4、标签属性中含有恶意执行代码 javascript

5、如果用户输入的文本进行过滤很容易照成注入漏洞

6、什么是XSS攻击

• Cross-Site Scripting(跨站脚本攻击) 为和CSS区分所以叫XSS攻击

7、XSS攻击的本质

• 而已代码未经过滤，混入正常代码中，浏览器无法分辨，导致恶意代码被执行;

8、在处理输入时，以下内容都不可信

• 来自用户的 UGC 信息
• 来自第三方的链接
• URL 参数
• POST 参数
• Referer （可能来自不可信的来源）
• Cookie （可能来自其他子域注入）

9、XSS分类

• 根据攻击来源可分为三种: 存储型、反射型、DOM型;
  • 存储型:
    • 攻击者将恶意代码提交到目标网站的数据库中, 用户打开目标网站时，网站服务端将恶