1. XSS、CSRF
    浅谈前端安全

1.1 同源策略
同源:即协议、域名、端口一致
浏览器的同源策略是:一个域上的脚本和cookie是不允许另外一个域访问的。如果没有同源策略的限制,那么网站的cookie等信息就会被其他人读取,就会造成隐私数据的泄露。

1.2 XSS
XSS:跨站脚本攻击
即攻击者向网站注入恶意代码,利用恶意脚本对网页进行修改,将隐私数据比如cookie、session发送给攻击者,将被攻击者重定向到一个受攻击者控制的网站。
常见手法:
① 链接形式(反射型XSS)
攻击者发一个恶意链接给被攻击者,被攻击者在点开链接并进行浏览的时候,就会执行恶意脚本,然后隐私信息就被获取了。
② 留言形式(存储型XSS)
比如博客,攻击者在博客提交一条带有恶意代码的留言入数据库,用户在查询的时候,就会从数据库中读取这条数据,然后解析执行。
③ DOM Based XSS

防范手段:
① 输入过滤:过滤掉输入中的敏感字符,比如&<>”‘/等;
② 前端限制输入长度,可以增加XSS攻击难度;
③ 后端响应头set-cookie中设置httpOnly;

1.3 CSRF
CSRF:跨域请求伪造
攻击者构造一个后端链接,去诱导用户点击或者自主请求,就是利用用户已经获取到注册凭证,绕过后端的用户验证。(冒充用户)

常见手法:
① img标签:在被攻击者访问页面时,浏览器会自动向src指向的地址发出请求;
② 自动提交的表单页面:通常是构造一个自动提交的表单在页面上,模拟用户完成了一次POST操作;
③ 链接:通常是需要诱骗用户点击才会触发
防范手段:
① 请求头中带token;
服务端随机生成token,保存在服务端session中,同时保存到客户端中,客户端发送请求时,把token带到HTTP请求头或参数中,服务端接收到请求,验证请求中的token与session中的是否一致。如果请求中没有 token 或者 token 内容不正确,则认为可能是 CSRF 攻击而拒绝该请求。
② 后端验证源referer字段;
根据 HTTP 协议,在 HTTP 头中有一个字段叫Referer,它记录了该 HTTP 请求的来源地址。通过验证Referer,可以检查请求是否来自合法的”源”。
③ 验证码
通过增加网站A的验证手段,例如增加图形验证码或短信验证码等等,只有通过验证的请求才算合法。但是这种方案拥有两个局限性,一个是增加开发成本,另外一个是降低用户体验。

1.4 点击劫持
利用iframe标签,攻击者将iframe标签放到web页面上,并且提升iframe的层级然后让它透明,再在外层放个家页面诱导用户点击。
防范手段:
服务器设置X-Frame-Options: DENY +https
服务器端可设置HTTP头X-Frame-Options:DENY来让浏览器主动禁止<iframe>内嵌,但是这种方式需要结合HTTPS来实现,因为HTTP不可靠,容易被窃听篡改内容
一、前端面试题 – js篇
二、 前端面试题 – vue篇

原文地址:http://www.cnblogs.com/Sultan-ST/p/16924985.html

1. 本站所有资源来源于用户上传和网络,如有侵权请邮件联系站长! 2. 分享目的仅供大家学习和交流,请务用于商业用途! 3. 如果你也有好源码或者教程,可以到用户中心发布,分享有积分奖励和额外收入! 4. 本站提供的源码、模板、插件等等其他资源,都不包含技术服务请大家谅解! 5. 如有链接无法下载、失效或广告,请联系管理员处理! 6. 本站资源售价只是赞助,收取费用仅维持本站的日常运营所需! 7. 如遇到加密压缩包,默认解压密码为"gltf",如遇到无法解压的请联系管理员! 8. 因为资源和程序源码均为可复制品,所以不支持任何理由的退款兑现,请斟酌后支付下载 声明:如果标题没有注明"已测试"或者"测试可用"等字样的资源源码均未经过站长测试.特别注意没有标注的源码不保证任何可用性