- [ ] 原文地址（本人博客）：https://www.waylon.online/blog?id=505a7e38-a2c0-4c97-a454-7771b2dcfdfb # 本文主要涉及6个内容： - HTTP与HTTPS - 同源策略（Same-origin policy，简称 SOP）/ 跨域资源共享（Cross-Origin Resource Sharing，简称 CORS） - 跨站脚本攻击（Cross-Site Scripting，简称 XSS） - 跨站请求伪造（Cross-site request forgery，简称 CSRF） - Ifame安全 - 中间人攻击（Man-in-the-MiddleAttack，简称MITM） # HTTP与HTTPS 众所周知，HTTP（Hypertext Transfer Protocol）超文本传输协议有着许多优点，包括但不限于： 1. **灵活可扩展**，可以传输任意数据类型的数据对象； 2. **无状态**，每一次请求都是独立的，请求结束不会记录连接的任何信息，减少了网络开销，这是优点也是缺点 3. **无连接**，每一次请求都要连接一次，请求结束就会断掉，不会保持连接（*HTTP1.1后可以保持连接长连*）但是HTTP有一个致命的缺陷，它是明文传输的，这些明文数据会经过**WiFi、路由器、运营商、机房**等多个物理设备节点，如果在这中间任意一个节点被监听，传输的内容就会完全暴露，这一攻击手法叫做MITM（Man-in-the-MiddleAttack）**中间人**攻击。为了解决HTTP明文传输数据可能导致的安全问题，1994年网景公司提出了HTTPS（HyperText Transfer Protocol Secure）超文本传输安全协议。它的原理是在应用层的HTTP和传输层的TCP的传输中建立了一个安全层，这个所谓的“安全层”主要由**SSL/TLS**协议来承担责任。对于这两个协议，我们只需要知道SSL（Secure Sockets Layer）是一种早期的安全协议，现已被广泛淘汰。TLS（Transport Layer Security）是SSL的后继者，更安全可靠，并且是当前使用最广泛的安全协议，详细的暂且不表。 ### HTTPS连接的握手过程：这里我借用掘金大佬的一张图并加以改造~ ![https.png](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/45c861c3e26a4203bfe29b3fd8118afa~tplv-k3u1fbpfcp-zoom-1.image) 大体流程如下： - 用户在浏览器发起HTTPS请求，并带上其支持的**SSL/TLS版本**以及**加密算法列表**，默认使用服务端的443端口进行连接； - HTTPS需要使用一套**CA数字证书**，证书内会附带一个**公钥Pub**，而与之对应的**私钥Private**保留在服务端不公开； - 服务端收到请求，返回配置好的包含**公钥Pub**的证书给客户端； - 客户端收到**证书**，校验合法性，主要包括是否在有效期内、证书的域名与请求的域名是否匹配，上一级证书是否有效（递归判断，直到判断到系统内置或浏览器配置好的根证书），如果不通过，则显示HTTPS警告信息，如果通过则继续； - 客户端生成一个用于对称加密的**随机Key**，并用证书内的**公钥Pub**进行加密，发送给服务端； - 服务端收到**随机Key**的密文，使用与**公钥Pub**配对的**私钥Private**进行解密，得到客户端真正想发送的**随机Key**； - 服务端使用客户端发送过来的**随机Key**对要传输的HTTP数据进行对称加密，将密文返回客户端； - 客户端使用**随机Key**对称解密密文，得到HTTP数据明文； - 后续HTTPS请求使用之前交换好的**随机Key**进行对称加解密。 ### HTTPS的特点了解完HTTPS连接的建立过程，我们可以大致介绍下HTTPS相对于HTTP的特点： 1. HTTP 是明文传输，HTTPS 协议是可进行加密传输、身份认证的网络协议，比 HTTP 协议安全。 2. HTTPS对搜索引擎更友好，利于 SEO；谷歌、百度优先索引 HTTPS 网页。 3. HTTPS 标准端口 443，HTTP 标准端口 80。 4. HTTPS 需要用到SSL证书，而 HTTP 不用。上面我们提到了SSL证书，这是HTTPS必不可少的一环，服务端在使用HTTPS前，去经过认证的CA机构申请颁发一份**数字证书**（*很贵。。。*），数字证书里包含有证书持有者、证书有效期、公钥等信息，服务端将证书发送给客户端，客户端校验证书身份和要访问的网站身份确实一致后再进行后续的加密操作。 ### 如何接入HTTPS 参考我的博客接入HTTPS的经历，大致可以分为三个步骤： 1. 购买SSL证书，通常需要到数字证书授权机构购买 2. 安装SSL证书，将购买的证书文件上传至CVM 3. 更改nginx服务器配置，为`nginx`安装`http_ssl_module`模块，ningx.conf配置如下(伪代码)： ```nginx server { listen 80; server_name waylon.online; return 301 https://$host$request_uri; #把http的域名请求转成https } server { listen 443 ssl http2; listen [::]:443 ssl http2; server_name waylon.online; ssl_certificate ../XXXX.crt; ssl_certificate_key ../XXXX.key; ssl_session_cache shared:SSL:1m; ssl_session_timeout 5m; ssl_ciphers HIGH:!aNULL:!MD5; ssl_prefer_server_ciphers on; } ``` # 同源策略（SOP）这里我们需要解答3个问题，什么是同源？为什么要存在同源策略？如何跨过同源策略？ ### 什么是同源？这个很简单，协议、域名、端口都一样，就是同源。 ### 为什么要有存在同源策略？同源策略是一种安全机制，它的存在是为了保护用户的隐私和安全。同源策略限制了浏览器内网页间的交互，使得来自不同源的脚本不能访问彼此的数据。这样可以避免恶意脚本通过操纵页面中的数据、Cookie等信息进行攻击，从而保护用户的隐私和安全。如果没有同源策略的限制，那么就会出现跨站点脚本攻击（XSS）、跨站点请求伪造（CSRF）等安全问题，给用户带来风险和损失，浏览器需要背大锅。因此，同源策略是保护用户隐私和安全的重要手段之一。 ### 如何跨过同源策略？（如何跨域）在解答如何跨域之前，我们需要明白一个事实，跨域的请求是可以正常发送出去的，并且服务器也会接收到这个请求并且做出正确的回应，唯一与同源请求不同的点是浏览器会把跨域请求的返回隐藏，并且无法通过javascript获取请求的返回。具体可以参考这篇博客[《跨域的请求在服务端会不会真正执行？》](https://cloud.tencent.com/developer/article/2009296)，里面还将请求分为简单请求与复杂请求，服务端对于这两种请求的还会做出不一样的处理； - 简单请求：不管是否跨域，只要发出去了，一定会到达服务端并被执行，浏览器只会隐藏返回值； - 复杂请求：先发预检，预检不会真正执行业务逻辑，预检通过后才会发送真正请求并在服务端被执行；言归正传，如何跨域？ 1. JSONP：利用 `