这是我参与「第四届青训营」笔记创作活动的的第5天

Web安全之攻击

XSS的防御

• 永远不信任用户的提交内容

• 不要将用户提交内容直接转换成DOM

防御XSS的现成工具

前端
• 主流框架默认防御XSS
• google-closure-library
服务端（Node）
• DOMPurify

注意！！！

• string -> DOM
  要对string转逆
• 用户上传svg文件
  要对svg文件进行扫描
• 尽量不要做自定义跳转链接
  必须做过滤
• 自定义样式

CSRF的防御

目前防御 CSRF 攻击主要有三种策略：
1、验证 HTTP Referer 字段；
2、在请求地址中添加 token 并验证；
3、在 HTTP 头中自定义属性并验证。

SQL Injection的防御

• 找到项目中查询SQL的地方
• 使用 prepared statement

DoS的防御

Regex DoS

Logical DoS

DDoS

传输层————防御中间人

HTTPS的特性

可靠性：加密

完整性：MAC验证

不可抵赖性：数字签名

数字签名

安全无小事
如有错误，欢迎指正🥰