关于代码安全的一些处理措施

1、XSS防御

将请求的<script></script>替换为&ltscript&gt&lt/script&gt符号，实现前端展示效果是对的，但是不执行脚本。

2、CSRF攻击

获取请求头的Referer值（类型的请求都有）

设置白名单：比如：*.tim.com，判断Referer的值是否包含.tim.com的后缀，包含则运行，否则跳转错误页面。

3、CORS攻击

获取请求头的Origin（注意：只有post请求或者跨域的get请求，因此，前提是保证所有的增删改都用post请求），同CSRF设置白名单，判断Origin的值是否合法。

httpServletRequest.getMethod()方法可以获取是否是get或者post请求。

4、判断请求的Host

获取请求头的Host，同上面通过白名单判断Host的值是否合法