web安全小节

WEB 前端安全

页面安全

• 同源策略

• xss跨站脚本攻击(cross site scripting)
  通过form表单或者xhr请求等方式注入恶意脚本，骗取浏览器执行这些恶意脚本获取用户信息
  持久性攻击: 通过留言版等功能输入恶意代码，提交后会被保存在数据库中，用户浏览这些数据时被执行这些恶意代码然后窃取用户数据
  非持久性: 只在当前执行

  http://a.com?q=![]()

  防御: 过滤用户提交的危险字符

      CSP(content-security-policy)
      设置cookie为httpOnly,使得JavaScript不能通过document.cookie等方式来获取cookie
  

• csrf跨站请求伪造(cross site request forgery)
  通过登录了目标网站用户，以超链接等方式跳转到第三方网站，利用携带的cookie信息，伪造身份向目标网站发送请求(删除，转账...)
  防御: 网站应用验证请求发送方 sameSite 严格模式strict； 目标网站验证请求(所有请求必须携带目标网站下发的token来验证身份)

网络安全

• http / https
  http: 明文发送，有被窃取修改的风险
  不验证通信方身份，不能确定报文的完整性
  https: 数据加密，身份验证

  https 采用非对称加密和对称加密技术
  向CA申请证书包含(公钥，CA数字签名)
  访问服务器 -> 服务器下发证书 -> 客户端检查证书(通过数字签名验证) -> 生成随机hash值 -> 使用服务器公钥进行加密 -> 将加密后的内容发送到服务端 -> 服务端通过自己的私钥匙解密，验证成功后，将这个随机值作为对称加密的密钥

浏览器系统安全

• 浏览器安全通过安全沙箱的隔离性保证安全，让渲染进程在运行中无法访问或修改操作系统中的数据，如果渲染进程需要访问系统资源只能通过浏览器内核(主进程,网络进程...)将结果通过IPC转发给渲染进程