web 安全之 xss 、 csrf

1、首先定义xss (cross-site script )跨域脚本攻击。

场景：表单中的输入框、文本框或者任何可提交给服务器的查询参数（String类型），若不对用户输入的内容不进行任何过滤，就有可能引起脚本攻击。

具体的例子：比如一个帖子，下面有可输入的评论框，我在其中输入<script>while(true){alert('fuck you!');}</script>，如果不对我输入的内容过滤，那么凡是查看我评论的内容的用户都会遭此难！ 这个例子比较简单，算是抛砖引玉了。 如果在评论框中，写个frame 里面指定src ="www.evil.com"(黑客网站) 然后用通过var x = document.cookie;盗走用户的cookie， 可能会带来不可估量的损失。

解决方案： 前后台过滤敏感字符。

2、csrf (cross-site request forgery) 跨域请求伪造。

场景： 比如有个积分网站，www.jifen.com/transfer?number=10000&toUser=11 这个get请求可以将当前用户 A 的10000积分 转给userid 为11的用户，如果在当前用户session失效之前，他访问了一个图片式链接 <a href="www.jifen.com/transfer?number=10000&toUser=111"><img src="/xxx.jpg"/></a> 这是一个坏人的图片的链接， toUser 为这个坏人在积分网的用户id（用户B）， 用户A 点击用户B 的图片链接后，很轻松的将10000的积分转到自己的账户下！！

解决方案： 

1、加referer 头校验；

2、动态token；

3、客户端请求加token；

4、http 头中   用户自定义属性。

详细解释，参考链接：http://www.ibm.com/developerworks/cn/web/1102_niugang_csrf/