前端安全问题之CSRF和XSS

1、CSRF

 

一、什么是 CSRF

CSRF（全称 Cross-site request forgery），即跨站请求伪造

二、攻击原理

用户登陆A网站，并生成 Cookie，在不登出的状况下访问危险网站B

 

三、防护措施

① 加 Token 验证，经过判断页面是否带有 Token 来进行验证

② 加 Referer 验证，经过判断页面的来源进行验证

③ 隐藏令牌，即把 Token 隐藏在 http 的 head 头中

 

 

2、XSS

 

一、什么是 XSS

XSS（全称 Cross Site Scripting），即跨域脚本攻击

 

二、攻击原理

经过合法的操做向页面注入 JS

 

三、防护措施

经过过滤、校订等方式阻止这个 JS 的执行

• 编码
• 过滤
• 校订

 

 

3、CSRF 和 XSS 的区别

 

一、CSRF 须要用户登陆，XSS 不用

 

二、CSRF 利用页面的漏洞去执行接口，而 XSS 经过注入 JS