Xss防护
- CSP安全策略，类似于黑名单，只允许加载本地图片，外部链接图片无法链接防御成本极低，同时有很多指令，同源策略，可添加不同类型的指令实现不同的要求。（同源策略：同端口，同协议，同域名）
- HTTP only，禁止使用：document.cookie，用于防止cookie被盗
Xss靶场：xss-labs靶场，没有HTTP only与CSP，只有关键字过滤形式的防御。
HTTP only与CSP无法绕过。
代码审计（白盒测试）比黑盒测试要难。
Xss漏洞掌握程度取决于js的掌握度。
2024年3月9日星期六