xyphf的博客

Web前端文件上传安全与敏感数据安全处理

为什么依赖过时的库会增加安全风险？如何通过npm audit或OpenSCA检测漏洞？2025 年推荐的 SCA（软件成分分析）工具新增了哪些功能？例如代码溯源和许可证合规分析。

X-Content-Type-Options: nosniff 阻止 MIME 嗅探，避免类型混淆攻击；HSTS 强制 HTTPS，防御降级和中间人攻击。2025 年 HSTS 推荐配置为 max-age=63072000; includeSubDomains; preload（按需），通过延长缓存期和子域名覆盖增强安全性。preload 机制通过浏览器内置列表解决首次访问漏洞，适合高安全性需求的网站，但需确保全域名 HTTPS 兼容性。

仅依赖前端验证是无法完全防止 XSS的，还需要增强后端验证，使用DOMPurify净化 HTML 时，还需要平衡安全性与业务需求。

CSP（Content Security Policy，内容安全策略）是一种由浏览器强制执行的安全层，核心作用是限制网页可以加载和执行的资源来源（如脚本、样式、图片等），以及控制页面的行为（如是否、表单提交等）。通过明确指定可信的资源来源和允许的操作，CSP 能有效防御 XSS、点击劫持、数据注入等多种攻击，从根源上阻断恶意代码的加载和执行。

点击劫持（Clickjacking）是一种视觉欺骗攻击，攻击者通过将目标网站页面嵌套在自己的恶意页面的 <iframe> 中，并设置透明样式覆盖在精心设计的诱导性内容（如按钮、链接）上方，诱导用户点击。用户看似点击的是恶意页面的元素，实际点击的是被嵌入的目标网站的敏感按钮（如 “确认支付”“删除账号” 等），从而在用户不知情的情况下执行非预期操作。

CSRF（Cross-Site Request Forgery，跨站请求伪造）是一种攻击方式，攻击者诱导用户在已登录目标网站的情况下，向该网站发送恶意请求，利用用户的身份凭证（如 Cookie）执行非预期操作（如转账、修改密码等）。

防御 XSS 的核心原则是：对所有不可信数据进行严格过滤和转义（如将<转义为<），避免使用危险的 DOM 操作方法，同时启用 CSP（内容安全策略）限制脚本执行。