前端安全

https:

http能夠被劫持、能夠被篡改；

 

CSP：

network->Headers->Response Headers->Content-Security-Policy：1.容許加載的內容（可信賴的站點或源配置）；2.做爲防範XSS的手段之一；3.瀏覽器插件能夠修改頁面中的任何內容，CSP能夠組織插件的行爲；4.能夠限制其餘網站把本身的網頁當成iframe：例如一個網頁把github設爲iframe，會報錯（還有一個屬性：X-Frame-Options），

 

XSS：

1.存儲型：會把內容存儲到數據庫，

2.反射型：url?id=123，例如谷歌?q=xxx會直接搜索xxx，

3.Dom-based：利用dom自己的一些缺陷致使的問題

network->Headers->Response Headers->X-XSS-Protection（防反射型）：

X-XSS-Protection:0

X-XSS-Protection:1(默認)

X-XSS-Protection:1;mode=block;(組織)

X-XSS-Protection:1;report=<reporting-url>（被攻擊時上報，只在chrome有效）

 

CSRF:

跨站的腳本攻擊。好比支付寶有一個查詢餘額的接口，如今有支付寶的登陸態，假如支付寶沒有作CSRF的防範，其餘網站可能能夠發起跨域請求獲取信息。

真正的防範是用token。

 

 

network中的Doc是站點的第一個請求