XSS 和 CSRF 有什么区别?Java Web 如何防御?

XSS(Cross-Site Scripting)跨站脚本攻击。XSS 攻击的本质是攻击者将恶意脚本注入到网页中,使这些脚本在其他用户浏览该网页时被执行。

攻击类型:

  • 存储型:恶意脚本存储在数据库中(如评论、昵称),用户访问时读取执行。

  • 反射型:脚本通过 URL 参数传入并被网页反射执行。

  • DOM 型 :前端 JavaScript 代码处理不当(如 innerHTML)导致脚本执行。

应对措施 (todo 待细化)

  • 输出编码(Output Encoding)

    • 使用 JSP/Thymeleaf/模板时对用户输入输出前进行 HTML 转义,如:

      <c:out value="${comment}" /> // JSP 中避免输出原始 HTML

  • 前端转义 :避免使用 innerHTML,用 textContent 等安全 API。

  • 使用安全框架:如 OWASP 提供的 ESAPI、Spring Security。

  • 内容安全策略(CSP):在响应头设置 CSP,限制脚本执行:

    Content-Security-Policy: default-src 'self';

CSRF(Cross-Site Request Forgery)跨站请求伪造。 攻击者诱导用户在登录状态下发起对目标站点的非授权请求。例如用户已登录银行站点,攻击者引导其访问恶意链接发起转账请求。

攻击条件

  • 用户已登录并维持会话(通常是 Cookie)

  • 攻击者伪造用户身份发起请求(表单、图片、脚本等)

Java Web 防御措施(todo 不太清除,待细化)

  • CSRF Token 验证(最有效)

    • 每个表单请求携带一个隐藏的随机令牌,后台验证。

    • Spring Security 自动支持 CSRF:http.csrf().enable(); // 默认开启

    • 表单中加:

      <input type="hidden" name="_csrf" value="${_csrf.token}" />

  • Referer / Origin 验证

    • 后端检查请求头中的 RefererOrigin 是否来自本站。
  • SameSite Cookie 属性

相关推荐
灵感__idea5 小时前
JavaScript高级程序设计(第5版):好的编程就是掌控感
前端·javascript·程序员
烛阴6 小时前
Mix
前端·webgl
代码续发7 小时前
前端组件梳理
前端
试图让你心动7 小时前
原生input添加删除图标类似vue里面移入显示删除[jquery]
前端·vue.js·jquery
陈不知代码8 小时前
uniapp创建vue3+ts+pinia+sass项目
前端·uni-app·sass
小王码农记8 小时前
sass中@mixin与 @include
前端·sass
陈琦鹏8 小时前
轻松管理 WebSocket 连接!easy-websocket-client
前端·vue.js·websocket
hui函数8 小时前
掌握JavaScript函数封装与作用域
前端·javascript
行板Andante8 小时前
前端设计中如何在鼠标悬浮时同步修改块内样式
前端
Carlos_sam9 小时前
Opnelayers:ol-wind之Field 类属性和方法详解
前端·javascript