sql注入和xss攻击

SQL注入
就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将（恶意的）SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入（恶意）SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。 [1] 比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击．

测试方式：

真实账号为： 123 密码：123
虚假账号为： 123’ – ‘ 密码：随便输入

sql语句模拟：

使用虚假账号 就可以登陆成功了。

解决方法：

	import mysql from 'mysql'

   	username = mysql.escape(username);
   	password = mysql.escape(password);
   
   	const sql = ` select * from users where username=${username} and password=${password} `

	.....

XSS 跨站脚本攻击,恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。

• XSS的原理

  1. 攻击者对含有漏洞的服务器发起XSS攻击（注入JS代码）。
  2. 诱使受害者打开受到攻击的服务器URL。
  3. 受害者在Web浏览器中打开URL，恶意脚本执行。

• 预防XSS措施

  1. 编码：对用户输入的数据进行HTML Entity编码
  2. 过滤：移除用户上传的DOM属性，如onerror等，移除用户上传的style节点，script节点，iframe节点等。
  3. 校正：避免直接对HTML Entity编码，使用DOM Prase转换，校正不配对的DOM标签。

测试：

var xss = require("xss");
var html = xss('<script>alert("xss");</script>');
console.log(html);