那个fanh前面学习的都是基础，现在开始正式学习下安全的知识，这一章主要讲解客户端常见的安全漏洞。
看到这个不错，给大家记一下：
1.常见的安全事件：
2.XSS（跨站脚本），英文全称：Cross Site Script
危害：盗取用户信息、钓鱼、制造蠕虫等。
XSS攻击的特点就是：尽一切办法在目标网站上执行非目标网站上原有的脚本.
3.XSS分类：
（1）存储型（黑客将XSS脚本存入数据库，用户访问时再返回给用户）：
（2）反射型（黑客发生一个包含xss的url，用户点击后触发）：
这两种对比：一个是xss存储在数据库返回给用户，另一个是直接url返回。
（3）DOM型（跟反射型类似，访问携带xss脚本的链接触发xss）：
DOM型与反射型的区别：
反射型：通过后端web应用程序，将xss脚本写入响应页面中，浏览器渲染响应页面时才触发xss。
DOM型：通过前端JS将xss写入DOM中触发xss。
XSS总结：
4.CSRF（跨站请求伪造），英文全称：Cross-site request forgery，危害：执行恶意操作（“被转账”、“被发垃圾评论”等）、制造蠕虫等
概念：利用用户已登录的身份，在用户毫不知情的情况下，以用户的名义完成非法操作。
过程如下：
原理如下：这是正常用户转账的一个接口数据
用户打开上面页面后，黑客构造了一个恶意页面，这个恶意页面就是一个自动转账，只要用户点击了就会转账，因为有了上一个页面的cookie所以不用再认证了。
5.点击劫持（通过覆盖不可见的框架误导受害者点击而造成的攻击行为），又被称为“UI-覆盖攻击”。
特点：
- 隐蔽性较高
- 骗取用户操作
- 利用iframe或者其它标签的属性
实例：
我来讲解下整个事件的过程，首先黑客会给一张或者其它诱惑性的东西呈现给用户，诱惑用户点击，而这个诱惑图片的背后有一个iframe标签，然后将图片中的点击位置与iframe标签想要用户点击的的按钮与图片点击重叠，然后再将iframe标签的设置为隐藏即可。
可见度设置为0后
6.URL跳转漏洞（借助未验证的URL跳转，将应用程序引导到不安全的第三方区域，从而导致安全问题）
举个例子看下：
实习URL跳转方式如下：
- Header头跳转
- Javascript跳转
- META标签跳转
