前端技能树，面试复习第 36 天—— 浏览器原理：如何预防 XSS 攻击与 CSRF 攻击

最新推荐文章于 2025-08-21 15:14:50 发布
最新推荐文章于 2025-08-21 15:14:50 发布
阅读量457 收藏
点赞数
CC 4.0 BY-SA版权
分类专栏： 前端面试复习笔记 前端面试面经 文章标签： 前端 面试 xss
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/ImagineCode/article/details/125963486
本文详细介绍了XSS攻击的类型及其防御措施，包括存储型、反射型和DOM型XSS，并讲解了CSRF攻击的概念及防御方法。同时，提到了中间人攻击和网络劫持的防范策略，强调了前端安全的重要性。

-⭐️ 本文首发自 前端修罗场(点击加入社区，参与学习打卡，获取奖励)，是一个由资深开发者独立运行的专业技术社区，我专注 Web 技术、区块链、Web 3、答疑解惑、面试辅导以及职业发展。。

1. 什么是 XSS 攻击？

（1）概念

XSS 攻击指的是跨站脚本攻击，是一种代码注入攻击。攻击者通过在网站注入恶意脚本，使之在用户的浏览器上运行，从而盗取用户的信息如 cookie 等。

XSS 的本质是因为网站没有对恶意代码进行过滤，与正常的代码混合在一起了，浏览器没有办法分辨哪些脚本是可信的，从而导致了恶意代码的执行。

攻击者可以通过这种攻击方式可以进行以下操作：

  • 获取页面的数据，如 DOM、cookie、localStorage
了解本专栏 订阅专栏 解锁全文 超级会员免费看
前端安全性问题和解决防范
MichelleZhai的博客
05-15 1184
文章目录一、常见的安全性问题二、XXS攻击（Cross Site Scripting）（跨站脚本攻击）三、CSRF安全漏洞（跨站请求伪造）四、SQL注入五、文件上传漏洞六、OS命令注入攻击 一、常见的安全性问题 1、XSS(Cross-Site Scripting)脚本攻击漏洞； 2、CSRF（Cross-sit request forgery）漏洞； 3、iframe安全隐患问题； 4、本地存储数据问题； 5、第三方依赖的安全性问题； 6、HTTPS加密传输数据； 7、SQL注入 8、文件上传漏洞
2020年前端面试复习必读精选文章【赠复习导图】
xb's area
04-10 3821
前言 之前写过一篇 一年半经验如何准备阿里巴巴前端面试，给大家分享了一个面试复习导图，有很多朋友说希望能够针对每个 case 提供一个参考答案。 写答案就算了，一是精力有限，二是我觉得大家还是需要自己理解总结会比较好。 给大家整理了一下每个 case 一些还算不错的文章吧（还包括一些躺在我收藏夹里的好文章），大家可以自己看文章总结一下答案，这样也会理解更深刻。 并不是所有文章都需要看，希望是一个...
PHP相关系列 - XSS相关
自娱自乐的代码人
09-12 1997
关于XSS（跨站脚本攻击）和CSRF（跨站请求伪造） 我们常说的网络安全其实应该包括以下三方面的安全： 1、机密性，比如用户的隐私被窃取，帐号被盗，常见的方式是木马。 2、完整性，比如数据的完整，举个例子，康熙传位十四子，被当时四阿哥篡改遗诏：传位于四子，当然这是传说，常见的方式是XSS跨站脚本攻击和csrf跨站请求伪造。 3、可用性，比如我们的网络服务是否可用，常用的攻击方式是dos和d
XSS攻击与CSRF攻击
Dax1_的博客
04-08 1万+
XSS攻击 什么是XSS Cross-Site Scripting(跨站脚本攻击)，简称XSS，是一种代码注入攻击。攻击者通过在目标网站上注入恶意脚本，使之在用户的浏览器上运行。利用这些恶意脚本，攻击者可获取用户的敏感信息如Cookie、SessionID等，进而危害数据安全 XSS的注入方法 简单来说，任何可以输入的地方都有可能引起XSS攻击，包括URL 在HTML内嵌的文本中，恶意内容以script标签形成注入 在内联的JavaScript中，拼接的数据突破了原本的限制（字符串，变量，方法名）等 在标
XSS 和 CSRF
sun_cainiao的博客
03-21 824
介绍两种最常见的针对 web 应用的攻击方式。 XSS （Cross-site scripting） 跨站脚本攻击 攻击者能够利用跨站脚本漏洞来绕过访问控制（access control），比如单源策略（same-origin policy）。 单源策略: 如果一个站点的内容有权限访问浏览器上的某些资源（比如 cookie），那么来自这个站点的所有内容都可以共享这些权限。 跨站点脚...
前端常见的安全问题及防范措施
热门推荐
m0_56069948的博客
02-23 1万+
Python微信订餐小程序课程视频 https://edu.youkuaiyun.com/course/detail/36074 Python实战量化交易理财系统 https://edu.youkuaiyun.com/course/detail/35475 前言 随着互联网的高速发展，信息安全问题已经成为行业最为关注的焦点之一。总的来说安全是很复杂的一个领域，在移动互联网时代，前端人员除了传统的 XSS、CSRF 等安全问题之外，还时常遭遇网络劫持、非法调用 Hybrid API 等新型安全问题。这篇文章会介绍一些常见的安全问题及
2022前端高频面试题精讲：JavaScript核心与企业级应用
该资料不仅是一份面试复习指南，更是系统梳理前端知识体系、提升综合能力的重要学习资源。 首先从标题“2022前端企业高频问答题”可以看出，这份资料具有极强的实战性和时效性。它并非泛泛而谈的基础教程，而是基于...
前端面试知识点整理：HTML、CSS、JavaScript及常见问题解析
安全性方面关注 XSS、CSRF 攻击原理及其防范措施。正则表达式用于字符串匹配与验证，优化则涵盖代码性能、加载速度、资源压缩等方面。重构能力体现代码质量意识，响应式与移动端开发强调多设备适配能力。团队协作...
掌握前端面试技巧：必备知识点详解
不过，我可以根据标题和描述提供的主题——“前端面试之道”，以及标签“前端 面试必备”来详细阐述前端面试中常见的知识点和重要概念。 ### 前端面试的知识点 #### HTML/CSS/JavaScript 基础 在前端开发中，HTML...
xss和csrf(详解)
qq_62046696的博客
06-30 4549
感觉自己的基础漏洞原理不太牢固，那就一起来复习一下吧！！！XSS的基本概念：XSS（Cross Site Scripting）：跨域脚本攻击。XSS攻击原理：不需要你做任何的登录认证，它会通过合法的操作（比如在url中输入、在评论框中输入），向你的页面注入脚本（可能是js、hmtl代码块等）。大白话就是，他是再允许的范围内进行上传代码的操作，然后让被害者点击。XSS攻击后果：盗用Cookie破坏页面的正常结构，插入广告等恶意内容D-doss攻击3、XSS攻击后果：盗用Cookie破坏页面的正常结构，插入广告
XSS 和 CSRF 攻击详解
AzulSystems的博客
03-03 2313
在 Web 安全领域中，XSS 和 CSRF 是最常见的攻击方式。简单的理解：XSS攻击：跨站脚本攻击。攻击者脚本 嵌入 被攻击网站，获取用户cookie等隐私信息。CSRF攻击：跨站请求伪造。已登录用户 访问 攻击者网站，攻击网站向被攻击网站发起恶意请求（利用浏览器会自动携带cookie）。XSS===XSS，即 Cross Site Script，中译是跨站脚本攻击。
CSRF与XSS
hcy48的博客
10-06 605
http://www.cnblogs.com/hyddd/archive/2009/04/09/1432744.html 讲的CSRF不错，简单易懂http://www.cnblogs.com/easytools/archive/2012/06/01/2529350.html 讲CSRF和XSS区别，简单一段文字XSS 全称“跨站脚本”，是注入攻击的一种。其特点是不对服务器端造成任何伤害，而是通
前端安全问题及防范
crazy_jialin的博客
11-16 3240
XSS攻击 XSS(Cross-Site Scripting,跨站脚本)，是比较常见的安全漏洞问题，其主要的攻击方式是通过表单或者页面url参数来注入一些可执行的代码，页面中用到这些字段的地方，如果没有经过处理，就会把他们当做代码来执行，从而造成安全事故。 根据攻击的影响范围，我们可以分为三类：DOM型、反射型、存储型，下面分别介绍这三种攻击方式。 DOM型 DOM型攻击指的是在前端页面中，直接通过url解析参数的攻击方式，不经过后台接口处理。用node起了一个web服务，用来测试，源码地址: https:
详解XSS和CSRF
sanlyshi's front-end road
10-28 2044
https://www.cnblogs.com/zhouyyBlog/p/14505961.html
104、前端5种安全问题及防范
sunnnnh的博客
08-26 3815
1.CSRF（跨站请求伪造） （1）什么是CSRF 你可以这么理解 CSRF 攻击：攻击者盗用了你的身份，以你的名义进行恶意请求。它能做的事情有很多包括：以你的名义发送邮件、发信息、盗取账号、购买商品、虚拟货币转账等。总结起来就是：个人隐私暴露及财产安全问题。 /* * 阐述 CSRF 攻击思想：（核心2和3） * 1、浏览并登录信任网站（举例：淘宝） * 2、登录成功后在浏览器产生信息存储（举例：cookie） * 3、用户在没有登出淘宝的情况下，访问危险网站 * 4、危险网站中存在..
前端安全常见问题与防范措施
最新发布
王二的博客
08-21 1001
前端安全防护要点 本文系统介绍了前端开发中的主要安全威胁及应对策略： 资源安全：通过SRI校验CDN资源完整性，CSP限制资源加载来源 XSS防护：输入过滤/输出编码，禁用危险API，配合CSP和HttpOnly Cookie CSRF防御：采用Token验证、SameSite Cookie及Origin检查机制 环境隔离：使用iframe沙箱属性，通过X-Frame-Options防止点击劫持 传输安全：强制HSTS策略确保HTTPS连接，防范中间人攻击 综合方案：各安全措施需组合使用，定期进行安全扫描和
XSS与CSRF详解
Sylon的博客
06-24 2967
XSS与CSRF详解 随着Web2.0、社交网络、微博等等一系列新型的互联网产品的诞生，基于Web环境的互联网应用越来越广泛，企业信息化的过程中各种应用都架设在Web平台上，Web业务的迅速发展也引起黑客们的强烈关注，接踵而至的就是Web安全威胁的凸显。 黑客利用网站操作系统的漏洞和Web服务程序的SQL注入漏洞等得到Web服务器的控制权限，轻则篡改网页内容，重则窃取重要内部数据，更为严重的则...
这一次彻底搞懂CSRF与XSS
Always-Learning
12-12 3241
CSRF攻击 一、什么是CSRF攻击？ CSRF指的是跨站请求伪造，是一种挟制用户在当前已经登录的Web应用程序上执行非本意操作的攻击方法。CSRF利用的是：一旦用户通过网站服务的身份认证，网站就完全信任该用户，受害者持有的权限级别决定了CSRF攻击的影响范围。 二、CSRF攻击流程 主要步骤包含下列六个步骤： 用户浏览并登陆信任网站A。 网站A验证通过后，在用户处产生A的Cookie。 用户在没有退出网站A的情况下，访问了危险网站B。 危险网站B要求用户访问第三方站点A，并发出了一个请求。 用户
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

蟹蟹蟹风流

期望和你分享一杯咖啡

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值