Open weijiyang opened 4 years ago
XSS 攻击是指浏览器中执行恶意脚本, 然后拿到用户的信息进行操作。主要分为存储型、反射型和文档型。防范的措施包括:
CSRF 攻击并不需要将恶意代码注入用户当前页面的html文档中,而是跳转到新的页面,利用服务器的验证漏洞和用户之前的登录状态来模拟用户进行操作。 利用Cookie的SameSite属性 SameSite可以设置为三个值,Strict、Lax和None。
CSRF 攻击并不需要将恶意代码注入用户当前页面的html文档中,而是跳转到新的页面,利用服务器的验证漏洞和用户之前的登录状态来模拟用户进行操作。
验证请求来源 主要用到了请求头中的Origin(域名) Refer(url) 但是都可以伪造安全性并不高
CSRF Token
首先,浏览器向服务器发送请求时,服务器生成一个字符串,将其植入到返回的页面中。然后浏览器如果要发送请求,就必须带上这个字符串,然后服务器来验证是否合法,如果不合法则不予响应。这个字符串也就是CSRF Token,通常第三方站点无法拿到这个 token, 因此也就是被服务器给拒绝。
XSS攻击(跨站攻击)
CSRF(跨站请求伪造)
验证请求来源 主要用到了请求头中的Origin(域名) Refer(url) 但是都可以伪造安全性并不高
CSRF Token