XSS 概况

• XSS是一种利用用户输入的安全漏洞的代码注入攻击的行为

• 一个成功的XSS攻击允许攻击者在受害者的浏览器中执行恶意脚本

• 一个成功的XSS的攻击使得网站和用户安全性都受到危害

XSS 攻击

有三类主要的XSS 攻击：

• 持续型XSS攻击，恶意输入源自网站的数据库

• 反射型RSS，恶意的输入源自受害者的请求

• 基于DOM的XSS攻击，漏洞来自客户端而不是服务端

所有的攻击实现方式都不相同，但一旦成功后达到的效果是一致的。

阻止XSS 攻击

• 阻止XSS攻击最重要的方式是验证用户输入

• 大部分情况下，只要用户的输入会被包含进页面，编码就应该被执行

• 在一些情况下，编码必须用校验做补充甚至做替换

• 验证输入必须考虑到用户输入被插入地方的上下文

• 为了阻止XSS攻击，验证用户输入必须在客户端和服务端同时执行

• 当验证用户输入失败时CSP提供了额外的一层安全保护