XSS 和 CSRF 有什么区别?Java Web 如何防御?

XSS(Cross-Site Scripting)跨站脚本攻击。XSS 攻击的本质是攻击者将恶意脚本注入到网页中,使这些脚本在其他用户浏览该网页时被执行。

攻击类型:

  • 存储型:恶意脚本存储在数据库中(如评论、昵称),用户访问时读取执行。

  • 反射型:脚本通过 URL 参数传入并被网页反射执行。

  • DOM 型 :前端 JavaScript 代码处理不当(如 innerHTML)导致脚本执行。

应对措施 (todo 待细化)

  • 输出编码(Output Encoding)

    • 使用 JSP/Thymeleaf/模板时对用户输入输出前进行 HTML 转义,如:

      <c:out value="${comment}" /> // JSP 中避免输出原始 HTML

  • 前端转义 :避免使用 innerHTML,用 textContent 等安全 API。

  • 使用安全框架:如 OWASP 提供的 ESAPI、Spring Security。

  • 内容安全策略(CSP):在响应头设置 CSP,限制脚本执行:

    Content-Security-Policy: default-src 'self';

CSRF(Cross-Site Request Forgery)跨站请求伪造。 攻击者诱导用户在登录状态下发起对目标站点的非授权请求。例如用户已登录银行站点,攻击者引导其访问恶意链接发起转账请求。

攻击条件

  • 用户已登录并维持会话(通常是 Cookie)

  • 攻击者伪造用户身份发起请求(表单、图片、脚本等)

Java Web 防御措施(todo 不太清除,待细化)

  • CSRF Token 验证(最有效)

    • 每个表单请求携带一个隐藏的随机令牌,后台验证。

    • Spring Security 自动支持 CSRF:http.csrf().enable(); // 默认开启

    • 表单中加:

      <input type="hidden" name="_csrf" value="${_csrf.token}" />

  • Referer / Origin 验证

    • 后端检查请求头中的 RefererOrigin 是否来自本站。
  • SameSite Cookie 属性

相关推荐
OpenGL3 分钟前
Android targetSdkVersion升级至35(Android15)相关问题
前端
rzl0219 分钟前
java web5(黑马)
java·开发语言·前端
Amy.Wang20 分钟前
前端如何实现电子签名
前端·javascript·html5
今天又在摸鱼23 分钟前
Vue3-组件化-Vue核心思想之一
前端·javascript·vue.js
蓝婷儿25 分钟前
每天一个前端小知识 Day 21 - 浏览器兼容性与 Polyfill 策略
前端
百锦再27 分钟前
Vue中对象赋值问题:对象引用被保留,仅部分属性被覆盖
前端·javascript·vue.js·vue·web·reactive·ref
jingling55531 分钟前
面试版-前端开发核心知识
开发语言·前端·javascript·vue.js·面试·前端框架
拾光拾趣录36 分钟前
CSS 深入解析:提升网页样式技巧与常见问题解决方案
前端·css
莫空000037 分钟前
深入理解JavaScript属性描述符:从数据属性到存取器属性
前端·面试
guojl38 分钟前
深度剖析Kafka读写机制
前端