前端安全系列之XSS攻击防范
1、使用textContent
2、使用HTML转义
- 把JS中的标签转成字符
3、对于链接跳转 禁止含有’javascript:'开头的字符
4、标签属性中含有恶意执行代码 javascript
5、如果用户输入的文本进行过滤很容易照成注入漏洞
6、什么是XSS攻击
- Cross-Site Scripting(跨站脚本攻击) 为和CSS区分所以叫XSS攻击
7、XSS攻击的本质
- 而已代码未经过滤,混入正常代码中,浏览器无法分辨,导致恶意代码被执行;
8、在处理输入时,以下内容都不可信
- 来自用户的 UGC 信息
- 来自第三方的链接
- URL 参数
- POST 参数
- Referer (可能来自不可信的来源)
- Cookie (可能来自其他子域注入)
9、XSS分类
- 根据攻击来源可分为三种: 存储型、反射型、DOM型;
- 存储型:
- 攻击者将恶意代码提交到目标网站的数据库中, 用户打开目标网站时,网站服务端将恶
- 存储型: