XSS攻擊
XSS(Cross Site Scripting)跨域腳本攻擊.
在輸入框（URL/評論框）中添加腳本，盜用cookie對頁面結構進行破壞。
存儲型XSS
提交腳本後，腳本存儲在服務器端，下一次請求不需在此XSS請求。
反射型XSS
提交腳本後，XSS惡意腳本隨服務器返回，瀏覽器進行解析。
DOM型XSS
類似於反射型XSS，從DOM獲取用戶數據。
解決
- 對HTML輸入進行轉義,對提交的
POST或URL做限制。 - 接受內容去掉遠程的Js引用。
cookie設成HttpOnly
CSPF攻擊
CSPF(Cross-Site-Request-Forgery)跨站請求僞造。
僞裝成受信任用戶，請求受信任的網站。
解決
Token進行驗證- HTTP請求頭
One-Time-Tokens通過XMLHttpRequest進行異步校驗。 - HTTP的
Referer字段