前端安全問題之CSRF和XSS

1、CSRF

 

一、什麼是 CSRF

CSRF（全稱 Cross-site request forgery），即跨站請求僞造

二、攻擊原理

用戶登陸A網站，並生成 Cookie，在不登出的狀況下訪問危險網站B

 

三、防護措施

① 加 Token 驗證，經過判斷頁面是否帶有 Token 來進行驗證

② 加 Referer 驗證，經過判斷頁面的來源進行驗證

③ 隱藏令牌，即把 Token 隱藏在 http 的 head 頭中

 

 

2、XSS

 

一、什麼是 XSS

XSS（全稱 Cross Site Scripting），即跨域腳本攻擊

 

二、攻擊原理

經過合法的操做向頁面注入 JS

 

三、防護措施

經過過濾、校訂等方式阻止這個 JS 的執行

• 編碼
• 過濾
• 校訂

 

 

3、CSRF 和 XSS 的區別

 

一、CSRF 須要用戶登陸，XSS 不用

 

二、CSRF 利用頁面的漏洞去執行接口，而 XSS 經過注入 JS