这是我参与「第五届青训营 」伴学笔记创作活动的第 38 天，昨天对Web开发安全之旅的攻击篇的课堂内容做了笔记，今天来对防御篇进行介绍，下面就是我在课堂上学的关于防御篇的内容：

防御篇

XSS

永远不信任用户的提交内容，不要将用户提交的内容直接转换成DOM。

现成的工具：前端：主流框架默认防御XSS，google-closure-library。

服务端（Node）：DOMPurify

注意：

插播：same-origin Policy

Conten Security Policy(CSP)

Conten Security Policy(CSP)：那些源（域名）被认为是安全的；来自安全源的脚本可以执行，否则直接报错；对eval + inline script直接拒绝。

CSRF的防御

CSRF-token：

CSRF-iframe攻击：

Samesite Cookie

injection

防御Dos

小结

一些内容后期会补充，谢谢大家，图片全部出自字节。