m0_74013263的博客

如i=A,

xss顾名思义就是跨站脚本攻击，攻击者通过在web页面注入恶意的script代码，当用户浏览网页时，嵌入的script代码会被执行，从而达到攻击的目的，对受害用户可能采取Cookies资料窃取，会话劫持，钓鱼欺骗等各种攻击。dom型xss是一种特殊的反射型xss，但是差别在于dom型xss的代码并不需要服务器的参与，发生在客户端，dom是文档对象模型，触发xss是靠浏览器进行dom解析。flash钓鱼：flash下载页面创建，诱惑性的动画图片准备，后门和正常安装文件捆绑，利用xss或诱惑性语句触发。

进行处理时会将url进行截断，然后对/xxx/..进行权限校验，校验通过之后再由springboot进行路由分发，然后springboot会将url /xxx/..;假如/admin接口设置了authc拦截器，访问/admin将会被进行权限判断，如果请求的url为/admin/呢，/*的url路径表达式将无法正确匹配，放行。然后进入到spring（servlet）拦截器，而spring中/admin形式和/admin/形式的url访问的资源是一样的，从而导致了绕过。/admin/返回/admin/