前端安全编码规范

最新推荐文章于 2025-06-26 00:42:42 发布

紫微前端

最新推荐文章于 2025-06-26 00:42:42 发布

阅读量455

点赞数

CC 4.0 BY-SA版权

分类专栏：前端知识加深文章标签：前端面试

本文链接：https://blog.youkuaiyun.com/liuhao9999/article/details/123678074

前端知识加深专栏收录该内容

510 篇文章 ¥39.90 ¥99.00

订阅专栏

本文详细介绍了前端安全中的跨站脚本攻击（XSS）的类型、检测与防御方法，跨站点请求伪造（CSRF）的原理、攻击方式及防御措施，以及点击劫持的概念和防御策略。同时，还提到了跨域安全、postMessage通信的安全注意事项以及Web Storage的潜在风险。强调了对用户输入的严格检查和使用验证码、Token的重要性。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

1. 跨站脚本攻击（Cross Sites Script）

跨站脚本攻击，Cross Site Script（简称 CSS或）。指黑客通过“HTML注入”篡改了网页，插入了恶意的脚本（主要是JavaScript脚本），从而在用户浏览网页时，控制用户浏览器的一种攻击。

了解了什么是XSS，那你一定想知道，它有什么危害以及如何去防御这里罗列一张列表：

挂马
盗取用户Cookie。
钓鱼攻击，高级的钓鱼技巧。
删除目标文章、恶意篡改数据、嫁祸。
劫持用户Web行为，甚至进一步渗透内网。
爆发Web2.0蠕虫。
蠕虫式挂马攻击、刷广告、刷浏量、破坏网上数据
其它安全问题

常见的跨站脚本攻击也可分为：反射型XSS、存储型XSS、DOM Based XSS 下面针对这三种常见的类型做具体的分析

1.1 反射型XSS--也可被称为是HTML注入

反射型XSS，也称为"非持久型XSS"简单的把用户输入的数据"反射"给浏览器，即黑客往往需要诱使用户"点击"一个恶意链接攻击才能成功，用户通过点击这个恶意链接，攻击者可以成功获取用户隐私数据的一种方式。如："盗取用户Cookie信息"、"破坏页面结构"、"重定向到其他网站"，盗取内网IP等。

了解本专栏