web安全

XSS

黑客往网页里边恶意的注入脚本代码
当用户访问时候获取到包含恶意代码的网页
通过恶意脚本，黑客可以获取和控制用户信息
一般分为几种类型
    1.反射型--黑客把带有恶意代码参数的url地址发给用户。用户点击链接，服务器获取请求参数并使用
        一些浏览器内置了xss过滤器，可以防止大部分的反射型xss攻击
    2.存储型 --就是持久型，用户将恶意脚本代码上传或者是存贮到漏洞服务器，服务器将恶意脚本代码进行保存，当用户正常的访问服务器时候，服务器就会读取恶意数据并直接使用
    3.dom-base型xss
    4,paylaod

如何防御xss

1.给cookie添加一个httpOnly 脚本无法读取cookie 但是有弊端就是自己也不能用
前端过滤  后端过滤 输入过滤

csrf

跨站请求伪造（cross site request forgery）
用户进行登录之后服务器端会进行cookie的设置
    黑客发送非法吸引人的页面诱导用户点击进入另一个页面
当用户点击访问页面的时候，这个页面会用类似iframe的方式继续伪造一个请求进行cookie共享的接口调用，这种方式也叫做钓鱼

csrf防御

1.验证码的方式，但是有弊端就是用户体验不好
2.跨站请求，使用refer验证，弊端是不可靠，也可以进行伪造
3.参数伪造token，这是最主流的防御CSRF的方式