WEB安全

WEB安全

总结下几种我目前了解的WEB攻击方式以及应对策略

XSS跨站脚本攻击

场景：
将脚本注入到ajax请求URL中发送给服务器，若Server成功响应，则脚本就会被执行，做出非法操作。

避免方式：

1. 禁用cookie，设置httpOnly，设为不可由js读取的状态
2. 校验请求参数是否正常，若存在问题不做正常响应（在请求头中携带鉴权信息，并校验请求参数，如URL）

XSRF/CSRF跨站请求伪造

场景：
用户登录A网址，服务器返回cookie
用户再访问非法网站B，B向A的服务器发起请求，并携带cookie，服务器正常响应，数据泄露

避免：

1. 请求时携带鉴权信息，定时过期
2. 请求时需填写验证码，服务器做校验