WEB开发的安全之旅：防御篇 ｜ 青训营笔记

woananya
95 阅读1分钟

WEB开发的安全之旅：防御篇 ｜ 青训营笔记

这是我参与「第四届青训营 」笔记创作活动的的第10天。

一、XSS

image.png

二、防御XSS的现成工具：

image.png

三、防御示例

String->DOM 要对String进行转译

image.png

上传svg 要对svg文件进行扫描

image.png

自定义跳转链接 要进行过滤

image.png

自定义样式 需要留意

image.png

补充：Same-origin Policy 同源策略

image.png

Content Security Policy (CSP) 内容安全策略

image.png

image.png

CSRF的防御

image.png

image.png

image.png

CSRF---iframe攻击

image.png

CSRF anti-pattern

image.png

CSRF 避免用户信息被携带： SameSite Cookie

image.png

image.png

image.png

SameSite VS CORS

image.png

Injection 防御

image.png

Injection beyond SQL

image.png

DOS防御

image.png

DDOS防御

image.png

传输层防御---防御中间人

image.png

HTTPS的一些特性：

image.png

HTTPS的大致流程：

image.png

HTTPS--完整性

image.png

补充：数字签名

image.png

HTTPS---不可抵赖：数字签名

image.png

HTTPS---证书 续

image.png

image.png

HTTP strict-Transport-Security(HSTS)

image.png

Subresource Integrity(SRI) image.png

SRI---demo

image.png

Feature Policy/Permission Policy image.png

四、尾声：

image.png

avatar
文章
阅读
粉丝