前端安全

https:

http能够被劫持、能够被篡改；

 

CSP：

network->Headers->Response Headers->Content-Security-Policy：1.容许加载的内容（可信赖的站点或源配置）；2.做为防范XSS的手段之一；3.浏览器插件能够修改页面中的任何内容，CSP能够组织插件的行为；4.能够限制其余网站把本身的网页当成iframe：例如一个网页把github设为iframe，会报错（还有一个属性：X-Frame-Options），

 

XSS：

1.存储型：会把内容存储到数据库，

2.反射型：url?id=123，例如谷歌?q=xxx会直接搜索xxx，

3.Dom-based：利用dom自己的一些缺陷致使的问题

network->Headers->Response Headers->X-XSS-Protection（防反射型）：

X-XSS-Protection:0

X-XSS-Protection:1(默认)

X-XSS-Protection:1;mode=block;(组织)

X-XSS-Protection:1;report=<reporting-url>（被攻击时上报，只在chrome有效）

 

CSRF:

跨站的脚本攻击。好比支付宝有一个查询余额的接口，如今有支付宝的登陆态，假如支付宝没有作CSRF的防范，其余网站可能能够发起跨域请求获取信息。

真正的防范是用token。

 

 

network中的Doc是站点的第一个请求