成人无码视频,亚洲精品久久久久av无码,午夜精品久久久久久毛片,亚洲 中文字幕 日韩 无码

資訊專欄INFORMATION COLUMN

前端常見安全問(wèn)題及解決方案

yy736044583 / 789人閱讀

摘要：安全漏洞漏洞是通過(guò)帶入的，這種帶入主要是前端解析中的參數(shù)，并對(duì)數(shù)參數(shù)執(zhí)行了或者或者操作。安全漏洞是通過(guò)仿造客戶端的請(qǐng)求獲取信息的，對(duì)于的請(qǐng)求，客戶端確實(shí)可以仿造，但是因?yàn)閷?duì)于的請(qǐng)求，有同源策略限制，已經(jīng)做了域名過(guò)濾，所以一般不會(huì)有問(wèn)題。

xss安全漏洞

XSS漏洞是通過(guò)URL帶入的，這種帶入主要是前端解析url中的參數(shù)，并對(duì)數(shù)參數(shù)執(zhí)行了innerHTML或者h(yuǎn)tml或者append操作。在將參數(shù)html()或者append()到html文件中時(shí)，會(huì)執(zhí)行其中的js代碼，被錯(cuò)誤用戶獲取到cookie等信息。

原始鏈接： 
https://xx.xxx.com/index.html?nick=aa
被xss注入之后的鏈接： 
https://xx.xxx.com/index.html?nick=qqqa/gi;
  // 去除包含<>內(nèi)容的，防止xss漏洞
  var filterValue = str.replace(/<.*?>/g,"");
  // 去除<開頭類型的xss漏洞
  filterValue = str.replace(/<+.*$/g,"");

  if(regExp && !regExp.test(filterValue)){
    filterValue = "";
  }
  return filterValue;
}

修復(fù)方式:
對(duì)URL中的參數(shù)包含<>標(biāo)簽的內(nèi)容進(jìn)行過(guò)濾，防止任何js代碼執(zhí)行的可能性。同時(shí)可以對(duì)帶有url的參數(shù)(比如用戶的頭像圖片鏈接)進(jìn)行域名限制，通過(guò)域名限制可以不需要再過(guò)濾類型，只需要限制域名，因?yàn)檫@里用戶有可能輸入了一些可以下載內(nèi)容的URL，讓用戶下載一些并不需要的東西，此時(shí)過(guò)濾域名最安全。

csrf安全漏洞

csrf是通過(guò)仿造客戶端的請(qǐng)求獲取信息的，對(duì)于jsonp的請(qǐng)求，客戶端確實(shí)可以仿造，但是因?yàn)閷?duì)于ajax的請(qǐng)求，有同源策略限制，已經(jīng)做了域名過(guò)濾，所以一般不會(huì)有問(wèn)題。

修復(fù)方案：

客戶端帶一個(gè)特定標(biāo)識(shí)到服務(wù)端，比如token，服務(wù)端檢查token

服務(wù)端判斷refer，對(duì)refer的域名進(jìn)行過(guò)濾和攔截

refer指向原則：

在a.html里面發(fā)送了ab.json請(qǐng)求，則服務(wù)端拿到的refer地址是a.html的地址，即當(dāng)前頁(yè)面的html地址

直接在瀏覽器里面輸入該地址（html或者json），則refer為空

從上個(gè)頁(yè)面a.html跳轉(zhuǎn)到b.html，則b.html的refer地址為a.html

文章版權(quán)歸作者所有，未經(jīng)允許請(qǐng)勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。

轉(zhuǎn)載請(qǐng)注明本文地址：http://m.hztianpu.com/yun/107119.html

相關(guān)文章

  • 常見的web安全問(wèn)題及解決方案

    摘要：常見的六大安全問(wèn)題有點(diǎn)擊劫持跳轉(zhuǎn)漏洞注入命令注入攻擊，跨站腳本攻擊，因?yàn)榭s寫和重疊，所以只能叫。這是預(yù)防攻擊竊取用戶最有效的防御手段。命令注入攻擊命令注入攻擊指通過(guò)應(yīng)用，執(zhí)行非法的操作系統(tǒng)命令達(dá)到攻擊的目的。 隨著互聯(lián)網(wǎng)的快速發(fā)展和前端的多樣性，瀏覽器已經(jīng)成一種十分重要的上網(wǎng)工具，也是要有越來(lái)越多的交互操作需要瀏覽器來(lái)支持，所以針對(duì)瀏覽器的安全問(wèn)題也越來(lái)越重要。瀏覽器安全其實(shí)是受同源策...

    geekzhou 評(píng)論0 收藏0

  • web 應(yīng)用常見安全漏洞一覽

    摘要：應(yīng)用常見安全漏洞一覽注入注入就是通過(guò)給應(yīng)用接口傳入一些特殊字符，達(dá)到欺騙服務(wù)器執(zhí)行惡意的命令。此外，適當(dāng)?shù)臋?quán)限控制不曝露必要的安全信息和日志也有助于預(yù)防注入漏洞。 web 應(yīng)用常見安全漏洞一覽 1. SQL 注入 SQL 注入就是通過(guò)給 web 應(yīng)用接口傳入一些特殊字符，達(dá)到欺騙服務(wù)器執(zhí)行惡意的 SQL 命令。 SQL 注入漏洞屬于后端的范疇，但前端也可做體驗(yàn)上的優(yōu)化。 原因 當(dāng)使用外...

    darkerXi 評(píng)論0 收藏0

  • web 應(yīng)用常見安全漏洞一覽

    摘要：應(yīng)用常見安全漏洞一覽注入注入就是通過(guò)給應(yīng)用接口傳入一些特殊字符，達(dá)到欺騙服務(wù)器執(zhí)行惡意的命令。此外，適當(dāng)?shù)臋?quán)限控制不曝露必要的安全信息和日志也有助于預(yù)防注入漏洞。 web 應(yīng)用常見安全漏洞一覽 1. SQL 注入 SQL 注入就是通過(guò)給 web 應(yīng)用接口傳入一些特殊字符，達(dá)到欺騙服務(wù)器執(zhí)行惡意的 SQL 命令。 SQL 注入漏洞屬于后端的范疇，但前端也可做體驗(yàn)上的優(yōu)化。 原因 當(dāng)使用外...

    Panda 評(píng)論0 收藏0

  • 前端安全問(wèn)題及解決辦法

    摘要：一隨著前端的快速發(fā)展，各種技術(shù)不斷更新，但是前端的安全問(wèn)題也值得我們重視，不要等到項(xiàng)目上線之后才去重視安全問(wèn)題，到時(shí)候被黑客攻擊的時(shí)候一切都太晚了。解決辦法增加驗(yàn)證因?yàn)榘l(fā)送請(qǐng)求的時(shí)候會(huì)自動(dòng)增加上，但是卻不會(huì)，這樣就避免了攻擊驗(yàn)證。 一、隨著前端的快速發(fā)展，各種技術(shù)不斷更新，但是前端的安全問(wèn)題也值得我們重視，不要等到項(xiàng)目上線之后才去重視安全問(wèn)題，到時(shí)候被黑客攻擊的時(shí)候一切都太晚了。 二、...

    JohnLui 評(píng)論0 收藏0

  • 前端安全問(wèn)題及解決辦法

    摘要：一隨著前端的快速發(fā)展，各種技術(shù)不斷更新，但是前端的安全問(wèn)題也值得我們重視，不要等到項(xiàng)目上線之后才去重視安全問(wèn)題，到時(shí)候被黑客攻擊的時(shí)候一切都太晚了。解決辦法增加驗(yàn)證因?yàn)榘l(fā)送請(qǐng)求的時(shí)候會(huì)自動(dòng)增加上，但是卻不會(huì)，這樣就避免了攻擊驗(yàn)證。 一、隨著前端的快速發(fā)展，各種技術(shù)不斷更新，但是前端的安全問(wèn)題也值得我們重視，不要等到項(xiàng)目上線之后才去重視安全問(wèn)題，到時(shí)候被黑客攻擊的時(shí)候一切都太晚了。 二、...

    Yi_Zhi_Yu 評(píng)論0 收藏0

發(fā)表評(píng)論

0條評(píng)論

閱讀需要支付1元查看
<