可以看到XSS危害如此之大， 那么在開發(fā)網(wǎng)站時就要做好防御措施，具體措施如下：可以從瀏覽器的執(zhí)行來進行預(yù)防，一種是使用純前端的方式，不用服務(wù)器端拼接后返回（不使用服務(wù)端渲染）。另一種是對需要插入到 HTML 中的代碼做好充分的轉(zhuǎn)義。對于 DOM 型的攻擊，主要是前端腳本的不可靠而造成的，對于數(shù)據(jù)獲取渲染和字符串拼接的時候應(yīng)該對可能出現(xiàn)的惡意代碼情況進行判斷。
使用 CSP ，CSP 的本質(zhì)是建立一個白名單，告訴瀏覽器哪些外部資源可以加載和執(zhí)行，從而防止惡意代碼的注入攻擊。
1、CSP 指的是內(nèi)容安全策略，它的本質(zhì)是建立一個白名單，告訴瀏覽器哪些外部資源可以加載和執(zhí)行。我們只需要配置規(guī)則，如何攔截由瀏覽器自己來實現(xiàn)。
2、通常有兩種方式來開啟 CSP，一種是設(shè)置 HTTP 首部中的 Content-Security-Policy，一種是設(shè)置 meta 標(biāo)簽的方式
對一些敏感信息進行保護，比如 cookie 使用 http-only，使得腳本無法獲取。也可以使用驗證碼，避免腳本偽裝成用戶執(zhí)行一些操作。
京公網(wǎng)安備 11010802030320號