安全方面知识点，面试大概率

在这里大致介绍了几种攻击类型及其防御方式：XSS攻击、CSRF攻击、点击劫持、中间人攻击；

XSS 攻击–跨网站脚本

什么是 XSS 攻击？如何防范 XSS 攻击？什么是 CSP？

XSS攻击简单来说就是注入恶意指令代码到网页，原理就是HTML语言会将一些特殊字符编译执行；从攻击方式可分为：

1. 持久型：最直接的类型，恶意代码直接存在了服务器或数据库；
2. 非持久型：最普通的，用户访问服务器-跨站链接-返回跨站代码。一般通过修改 URL 参数的方式加入攻击代码，诱导用户访问链接从而进行攻击。

如何防范？

1. 永不信任用户提交的内容，转义字符、过滤特殊字符、输入验证等
2. 设置严格的 CSP，浏览器实现具体拦截；通常可以通过2种方式来开启 CSP：

设置 HTTP Header 中的 Content-Security-Policy
设置 meta 标签的方式 <meta http-equiv="Content-Security-Policy">

CSRF 攻击–跨站请求伪造

什么是 CSRF 攻击？如何防范 CSRF 攻击？

CSRF 中文名为跨站请求伪造，简单来说就是欺骗浏览器，让其以用户的名义操作；

如何防范？

1、验证Referer:HTTP头中有一个Referer字段，这个字段用以标明请求来源于哪个地址;
2、添加校验Token，请求是携带Token，服务器验证是否有效；

点击劫持

什么是点击劫持？如何防范点击劫持？

点击劫持简单来说是一种视觉欺骗，在真实页面上加透明的iframe页面；

如何防范？

1、X-FRAME-OPTIONS

X-FRAME-OPTIONS 是一个 HTTP 响应头，在现代浏览器有一个很好的支持。这个 HTTP 响应头 就是为了防御用 iframe 嵌套的点击劫持攻击。
该响应头有三个值可选，分别是

a、DENY，表示页面不允许通过 iframe 的方式展示 ；
b、SAMEORIGIN，表示页面可以在相同域名下通过 iframe 的方式展示；
c、ALLOW-FROM，表示页面可以在指定来源的 iframe 中展示；

中间人攻击

什么是中间人攻击？如何防范中间人攻击？

简单来说就是与服务器和客户端同时建立连接，配上一张有意思的图：

如何防范？
1、使用HTTPS
2、不建议使用公共网络

以上就是4种攻击的简单说明；