web安全防范

xss漏洞

• 原理：信任了用户输入或控制的字段（url），回显（jQuery.html）到页面。导致script代码执行
• 后果：可以在页面执行任何hack代码，比如死循环、发送cookie、钓鱼、页面显示修改
• 防范：
  • 只需要文字回显到页面，无html标签:用jquery.text代替jquery.html
  • 只需要文字回显到页面，无html标签:jquery.html到页面之前做htmlDecode
  • 若确实需要回显html如富文本编辑器（漂亮的东西总是脆弱的），优先调开源的富文本自己的显示接口（已做xss过滤），否则需要自己做xss过滤

csrf

• 原理：钓鱼网站模拟用户请求
• 后果：窃取用户授权，如支付、删除、提交修改
• 防范：验证请求来源refer，生成每个用户特殊的token值来检验。 可以通过前端js算法+cookie，也可以通过后台生成传递给前端。更极端用验证码。。（洗洗睡了） 

PPT下载：Web前端安全防范.pptx