Open HolyZheng opened 6 years ago
function escape(str) { str = str.replace(/&/g, "&"); str = str.replace(/</g, "<"); str = str.replace(/>/g, ">"); str = str.replace(/"/g, "&quto;"); str = str.replace(/'/g, "'"); str = str.replace(/`/g, "`"); str = str.replace(/\//g, "/"); return str }
Content-Security-Policy: default-src 'self'; img-src *; media-src media1.com media2.com; script-src userscripts.example.com; report-uri http://reportcollector.example.com/collector.cgi
也可以配置元素
<meta http-equiv="Content-Security-Policy" content="default-src 'self'; img-src https://*; child-src 'none';">
是一种挟制用户在已登录的Web应用程序上执行非本意的操作的攻击,也就是利用用户的登录态发起恶意请求。它利用了服务器对客户端的信任。
Referer: https://github.com/HolyZheng/holyZheng-blog/issues/16
场景:恶意网站上诱惑用户点击,用户点击后会在用户不知情的情况下向某个服务器发送请求。
xss跨站脚本攻击(Cross-site scripting)
攻击类型
防范
也可以配置元素
CSRF跨站请求伪造攻击(Cross-site request forgery)
是一种挟制用户在已登录的Web应用程序上执行非本意的操作的攻击,也就是利用用户的登录态发起恶意请求。它利用了服务器对客户端的信任。
防范