是什么

常见的有: xss, csrf, sql注入等

• XSS: 跨站脚本攻击

有3种类型， 存储型、反射性、基于DOM , 主要用来获取用户cookie信息

• CSRF: 跨站请求伪造

用户正常登陆A网站， 在未退出的情况下， 访问危险网站B， B诱惑用户点击行为，产生到A的请求， 浏览器会携带A的信息， 使A站以为是正常访问并返回结果

• SQL注入：非法访问数据库信息

用户在url拼接sql语句，服务器未做处理，直接访问数据库，从而产生鉴权

怎么防范

• XSS

1. 设置httpOnly 避免cookie被劫持
2. 过滤敏感标签，如<script><img><a>
3. 编码转换， 如<>
4. 限制长度

• CSRF

1. 验证http referer字段
2. 请求地址中添加token并验证
3. http投中自定义属性并验证
4. 验证码机制

• SQL注入

1. 杜绝用户提交的参数入库并执行
2. 代码层不准出现sql语句
3. 对所有的参数做sql转义
4. sql注入测试

原理

FAQ