javascript考点 —— 安全性

一、XSS跨站请求攻击

• 新浪博客写一篇文章，同时偷偷插入一段<script>
• 攻击代码中，获取cookie，发送自己的服务器（cookie中一般有账户信息）
• 发布博客，有人查看博客
• 会把查看者的cookie发送到攻击者的服务器

如何预防：

• 前端替换关键字，例如替换<为&lt；>为&gt (转义字符)
• 后端替换

二、XSRF跨站请求伪造

• 你已经登陆一个网站，正在浏览商品
• 该网站付费接口是xxx.com/pay?id=100但是没有任何验证
• 然后你收到一封邮件，隐藏了<img src="xxx.com/pay?id=100">
• 你查看邮件的时候，就已经悄悄的付费了

如何预防：

• 增加验证流程，如输入指纹、密码、短信验证

http://www.cnblogs.com/wangyuyu/p/3388180.html