XSS

XSS跨站脚本，黑客往HTML文件或DOM中注入歹意脚本，从而在用户浏览页面利用注入脚本对用户施行攻打。

  1. 窃取cookie信息，通过document.cookie，而后通过XMLHttpRequest加上CORS发送给歹意服务器，拿到cookie能够模仿登录转账
  2. 监听用户行为，用addEventListener监听键盘事件，信用卡信息，发送歹意服务器，作守法的事
  3. 批改DOM人为造假的登录窗口，坑骗用户输出用户名和明码
  4. 页面生成浮窗广告，影响用户体验

XSS分为存储型XSS攻打、反射型XSS攻打和基于DOM的XSS攻打3种形式注入歹意脚本。
存储型XSS攻打：黑客将恶意代码放到有破绽的服务器，用户拜访了有恶意代码的页面，上传用户信息到歹意服务器
反射型XSS攻打：歹意脚本成了用户发送申请的一部分(get地址上)，而后网站又把恶意代码返回给用户，页面执行时做歹意操作
基于DOM的XSS攻打：通过wifi路由器，本地恶意软件劫持在传输过程中批改页面

首先都是先往浏览器注入歹意脚本，而后再通过歹意脚本将用户信息发送到歹意服务器。
解决：

  1. 服务器对输出脚本进行过滤或转码
  2. 充分利用CSP，限度加载其它域资源，禁止向第三方提交数据，禁止执行内联和未受权脚本，提供上板机制
  3. 应用httpOnly属性，无奈通过document.cookie读出来
  4. 减少验证码

  5. 限度输出长度

    CSRF

    CSRF跨站申请，伪造利用用户的登录状态通过第三方站点做一些好事。

  6. 主动发动get接口，比方接口在img,src当加载图片主动去发动申请
  7. 主动发动post，暗藏表单并且内容是转账接口，加载到JS提交表单
  8. 诱惑用户点链接，点图片地址是转账接口

CSRF不须要将恶意代码注入页面，仅是利用服务器的破绽和用户的登录状态施行攻打。
条件：

  1. 指标站点肯定要有破绽
  2. 用户登录过指标站点，并在浏览器放弃有站点的登录状态
  3. 须要用户关上一个三方站点(黑客or论坛)，要害是找到服务器破绽

解决：

  1. 利用cookie的SameSite属性，cookie是浏览器和服务器之间保护登录状态的要害数据。
    通常CSRF攻打都是从第三方站点发动的，最好能实现从第三方站点发送申请时禁止cookie的发送。因而在浏览器通过不同源发送http申请时，有如下区别：
    1.第三方发动的申请，须要浏览器禁止发送某些要害cookie数据到服务器
    2.同一站点发动的申请，须要保障cookie数据失常发送
    通过Set-Cookie的SameSite属性值：Stric最严，齐全禁止第三方cookie。Lax：链接关上get会带cookie，post,img,iframe,加载的url不会带。none：都会带。
  2. 验证申请的起源点,在服务器端验证申请起源的站点，服务器能够禁止第三方站点申请。
    从申请头中Referer和Origin判断第三方。Referer会蕴含门路信息，会优先判断Origin
  3. CSRF token：
    1.浏览器发送申请时，服务器生成CSRFToken植入返回的页面中。2.浏览器发动转账时要带上页面的CSRFToken。

页面平安问题次要起因是浏览器为同源策略开的2个后门：一是页面能够任意援用 第三方源。二通过CORS跨域申请。
基于这些，又引入了CSP限度页面任意引入内部资源、引入HttpOnly来禁止申请发送一些要害cookie、引入SameSite和Origin，来避免CSRF攻打。