XSS 和 CSRF 有什么区别?Java Web 如何防御?

XSS(Cross-Site Scripting)跨站脚本攻击。XSS 攻击的本质是攻击者将恶意脚本注入到网页中,使这些脚本在其他用户浏览该网页时被执行。

攻击类型:

  • 存储型:恶意脚本存储在数据库中(如评论、昵称),用户访问时读取执行。

  • 反射型:脚本通过 URL 参数传入并被网页反射执行。

  • DOM 型 :前端 JavaScript 代码处理不当(如 innerHTML)导致脚本执行。

应对措施 (todo 待细化)

  • 输出编码(Output Encoding)

    • 使用 JSP/Thymeleaf/模板时对用户输入输出前进行 HTML 转义,如:

      <c:out value="${comment}" /> // JSP 中避免输出原始 HTML

  • 前端转义 :避免使用 innerHTML,用 textContent 等安全 API。

  • 使用安全框架:如 OWASP 提供的 ESAPI、Spring Security。

  • 内容安全策略(CSP):在响应头设置 CSP,限制脚本执行:

    Content-Security-Policy: default-src 'self';

CSRF(Cross-Site Request Forgery)跨站请求伪造。 攻击者诱导用户在登录状态下发起对目标站点的非授权请求。例如用户已登录银行站点,攻击者引导其访问恶意链接发起转账请求。

攻击条件

  • 用户已登录并维持会话(通常是 Cookie)

  • 攻击者伪造用户身份发起请求(表单、图片、脚本等)

Java Web 防御措施(todo 不太清除,待细化)

  • CSRF Token 验证(最有效)

    • 每个表单请求携带一个隐藏的随机令牌,后台验证。

    • Spring Security 自动支持 CSRF:http.csrf().enable(); // 默认开启

    • 表单中加:

      <input type="hidden" name="_csrf" value="${_csrf.token}" />

  • Referer / Origin 验证

    • 后端检查请求头中的 RefererOrigin 是否来自本站。
  • SameSite Cookie 属性

相关推荐
gerrgwg1 小时前
Vue-library-start,一个基于Vite的vue组件库开发模板
前端·javascript·vue.js
你的人类朋友3 小时前
【Node】单线程的Node.js为什么可以实现多线程?
前端·后端·node.js
iナナ3 小时前
Spring Web MVC入门
java·前端·网络·后端·spring·mvc
驱动探索者3 小时前
find 命令使用介绍
java·linux·运维·服务器·前端·学习·microsoft
开心不就得了3 小时前
自定义脚手架
前端·javascript
星晨雪海5 小时前
怎么格式化idea中的vue文件
前端·vue.js·intellij-idea
没事多睡觉6665 小时前
Vue 虚拟列表实现方案详解:三种方法的完整对比与实践
前端·javascript·vue.js
white-persist5 小时前
Burp Suite模拟器抓包全攻略
前端·网络·安全·web安全·notepad++·原型模式
ObjectX前端实验室5 小时前
【前端工程化】脚手架篇 - 模板引擎 & 动态依赖管理脚手架
前端
GISer_Jing6 小时前
前端GIS篇——WebGIS、WebGL、Java后端篇
java·前端·webgl