前端面试题 - 安全篇
- XSS、CSRF
浅谈前端安全
1.1 同源策略
同源:即协议、域名、端口一致
浏览器的同源策略是:一个域上的脚本和cookie是不允许另外一个域访问的。如果没有同源策略的限制,那么网站的cookie等信息就会被其他人读取,就会造成隐私数据的泄露。
1.2 XSS
XSS:跨站脚本攻击
即攻击者向网站注入恶意代码,利用恶意脚本对网页进行修改,将隐私数据比如cookie、session发送给攻击者,将被攻击者重定向到一个受攻击者控制的网站。
常见手法:
① 链接形式(反射型XSS)
攻击者发一个恶意链接给被攻击者,被攻击者在点开链接并进行浏览的时候,就会执行恶意脚本,然后隐私信息就被获取了。
② 留言形式(存储型XSS)
比如博客,攻击者在博客提交一条带有恶意代码的留言入数据库,用户在查询的时候,就会从数据库中读取这条数据,然后解析执行。
③ DOM Based XSS
防范手段:
① 输入过滤:过滤掉输入中的敏感字符,比如&<>"'/等;
② 前端限制输入长度,可以增加XSS攻击难度;
③ 后端响应头set-cookie中设置httpOnly;
1.3 CSRF
CSRF:跨域请求伪造
攻击者构造一个后端链接,去诱导用户点击或者自主请求,就是利用用户已经获取到注册凭证,绕过后端的用户验证。(冒充用户)
常见手法:
① img标签:在被攻击者访问页面时,浏览器会自动向src指向的地址发出请求;
② 自动提交的表单页面:通常是构造一个自动提交的表单在页面上,模拟用户完成了一次POST操作;
③ 链接:通常是需要诱骗用户点击才会触发
防范手段:
① 请求头中带token;
服务端随机生成token,保存在服务端session中,同时保存到客户端中,客户端发送请求时,把token带到HTTP请求头或参数中,服务端接收到请求,验证请求中的token与session中的是否一致。如果请求中没有 token 或者 token 内容不正确,则认为可能是 CSRF 攻击而拒绝该请求。
② 后端验证源referer字段;
根据 HTTP 协议,在 HTTP 头中有一个字段叫Referer,它记录了该 HTTP 请求的来源地址。通过验证Referer,可以检查请求是否来自合法的"源"。
③ 验证码
通过增加网站A的验证手段,例如增加图形验证码或短信验证码等等,只有通过验证的请求才算合法。但是这种方案拥有两个局限性,一个是增加开发成本,另外一个是降低用户体验。
1.4 点击劫持
利用iframe标签,攻击者将iframe标签放到web页面上,并且提升iframe的层级然后让它透明,再在外层放个家页面诱导用户点击。
防范手段:
服务器设置X-Frame-Options: DENY +https
服务器端可设置HTTP头X-Frame-Options:DENY来让浏览器主动禁止<iframe>
内嵌,但是这种方式需要结合HTTPS来实现,因为HTTP不可靠,容易被窃听篡改内容
一、前端面试题 - js篇
二、 前端面试题 - vue篇