WEB 前端平安

页面平安

  • 同源策略

  • xss跨站脚本攻打(cross site scripting)
    通过form表单或者xhr申请等形式注入歹意脚本，骗取浏览器执行这些歹意脚本获取用户信息
    持久性攻打: 通过留言版等性能输出恶意代码，提交后会被保留在数据库中，用户浏览这些数据时被执行这些恶意代码而后窃取用户数据
    非持久性: 只在以后执行

    http://a.com?q=![]()

    进攻: 过滤用户提交的危险字符

        CSP(content-security-policy)    设置cookie为httpOnly,使得JavaScript不能通过document.cookie等形式来获取cookie
  • csrf跨站申请伪造(cross site request forgery)
    通过登录了指标网站用户，以超链接等形式跳转到第三方网站，利用携带的cookie信息，伪造身份向指标网站发送申请(删除，转账...)
    进攻: 网站利用验证申请发送方 sameSite 严格模式strict； 指标网站验证申请(所有申请必须携带指标网站下发的token来验证身份)

网络安全

  • http / https
    http: 明文发送，有被窃取批改的危险
    不验证通信方身份，不能确定报文的完整性
    https: 数据加密，身份验证

    https 采纳非对称加密和对称加密技术
    向CA申请证书蕴含(公钥，CA数字签名)
    拜访服务器 -> 服务器下发证书 -> 客户端查看证书(通过数字签名验证) -> 生成随机hash值 -> 应用服务器公钥进行加密 -> 将加密后的内容发送到服务端 -> 服务端通过本人的私钥匙解密，验证胜利后，将这个随机值作为对称加密的密钥

浏览器系统安全

  • 浏览器平安通过平安沙箱的隔离性保障平安，让渲染过程在运行中无法访问或批改操作系统中的数据，如果渲染过程须要拜访系统资源只能通过浏览器内核(主过程,网络过程...)将后果通过IPC转发给渲染过程