这是我参与「第五届青训营 」伴学笔记创作活动的第 18 天
安全问题很常见，会危害用户、公司、程序员
一、攻击篇
1、Cross-Site Scripting（XSS）：
主要利用了用户盲目信任用户的提交内容
特点：
- 通常难以从UI上感知（暗地执行脚本）
- 窃取用户信息（cookie/token）
- 绘制UI（比如弹窗），诱导用户点击/填写表单 类别：Stored XSS：将恶意脚本存放在数据库中，危害最大，对全部用户可见、Reflected XSS、DOM-based XSS：不需要服务器的参与，恶意攻击的发起和执行全在浏览器完成、Mutation-based XSS：利用了浏览器渲染DOM的特性，不同的浏览器会有区别（按照浏览器进行攻击）
2、Cross-site request forgery（CSRF）：
在用户不知情的前提下，利用用户权限（cookie），构造指定的HTTP请求以窃取或者修改用户的敏感信息
3、Injection（注入）
- SQL注入：SQL参数进行恶意注入以获取其他数据、修改数据或者删除数据
- CLI
- OS command
- SSRF（严格来说不是注入，但是原理类似）
4、DoS：
通过某种方式（构造特定请求），导致服务器资源被显著消耗，来不及响应更多请求，导致请求挤压，进而雪崩效应
- ReDoS：基于正则表达式的DoS
- DDos：短时间内构造来自大量僵尸设备的请求流量，导致服务器不能及时未完成全部请求导致请求堆积，进而雪崩效应，无法响应新请求。
4、传输层攻击：
中间人攻击：利用了明文传输、信息篡改不可知、对方身份未验证
二、防御篇
1、XSS的防御：
永远不要信任用户的提交内容，更不要将用户提交的内容直接转换成DOM
现成工具：
- 前端：主流框架默认防御XSS、google-closure-library；
- 服务端（Node）：DOMPurify
2、Content Security Policy（CSP）：
哪些源（域名）被认为是安全的、来自安全源的脚本可以执行，否则直接抛错、对eval+inline script要拒绝
3、Injection：
找到项目中查询SQL的地方，使用prepared statement
- 最小权限原则
- 建立允许名单和过滤
- 对URL类型参数进行协议、域名和ip等限制
4、Dos防御：
- 正则DoS防御：代码扫描+正则性能测试，不使用用户提供的使用正则
- DDoS：流量治理（负载均衡、API网关、CDN）、快速自动扩容、非核心服务降级
