两个角度看web安全
假如你是一个hacker——攻击
XSS的一些特点
-通常难以从UI, 上感知(暗地执行脚本)
-窃取用户信息(cookie/token)
-绘制UI (例如弹窗),
诱骗用户点击/填写表单
Stored XSS
-恶意脚本被存在数据库中
-访问页面→读数据=被攻击
-危害最大，对全部用户可见
csrf：
数据库注入：
Dos
通过某种方式(构造特定请求),导致服务器资源被显著消耗，来不及响应更多请求，导致请求挤压，进而雪崩效应。
中间人攻击
假如你是一个开发者——防御
前端
-主流框架默认防御XSS\
- google-closure-library
服务端(Node)\ - DOMPurify
-
CSP
-哪些源(域名)被认为是安全的
来自安全源的脚本可以执行，否则直接抛错
-对eval + inline script说no
csrf的防御：
避免用户携带cookie
注入防御：
dos防御：
ddos防御：
防御中间人：
