XSS攻击

XSS 攻击是指浏览器中执行恶意脚本(无论是跨域还是同域)，从而拿到用户的信息并进行操作。它可以窃取Cookie。监听用户行为，比如输入账号密码后直接发送到黑客服务器。修改 DOM 伪造登录表单。在页面中生成浮窗广告。
通常情况，XSS 攻击的实现有三种方式——存储型、反射型和文档型。
存储型，就是将恶意脚本存储到了服务端的数据库，然后在客户端执行这些脚本，从而达到攻击的效果。常见的场景是留言评论区提交一段脚本代码，如果前后端没有做好转义的工作，那评论内容存到了数据库，在页面渲染过程中直接执行, 相当于执行一段未知逻辑的 JS 代码。
反射型XSS指的是恶意脚本作为网络请求的一部分。过服务器，然后再反射到HTML文档中，执行解析。和存储型不一样的是，服务器并不会存储这些恶意脚本。
文档型的 XSS 攻击并不会经过服务端，而是作为中间人的角色，在数据传输过程劫持到网络数据包，然后修改里面的 html 文档。这样的劫持方式包括WIFI路由器劫持或者本地恶意软件等。

防范的措施：
（1）不要相信用户的输入，无论是在前端和服务端，都要对用户的输入进行转码或者过滤，让其不可执行。
（2）利用 CSP，即浏览器中的内容安全策略，它的核心思想就是服务器决定浏览器加载哪些资源，可以限制其他域下的资源加载、禁止向其它域提交数据、提供上报机制，能帮助我们及时发现 XSS 攻击。
（3）利用 HttpOnly，很多 XSS 攻击脚本都是用来窃取Cookie, 而设置 Cookie 的 HttpOnly 属性后，JavaScript 便无法读取 Cookie 的值。这样也能很好的防范 XSS 攻击。