PHP安全防护技术问答.pdfVIP

问题与简答

安全篇

跨站(XSS)

跨站(CrossSiteScript，简称XSS)，利用网页开发时留下的，通过巧

妙的方法注入指令代码到网页，使用户加载并执行者制造的网页程序

XSS示例

$input=$_GET[param];

echodiv.$input./div;

这是一个测试!

scriptalert(/xss/)/script

XSS分类

•反射型XSS：简单地将用户输入的数据反射给浏览器

•型XSS：把用户输入的数据在服务器端

•DOMBasedXSS：修改页面DOM节点形成的XSS

XSS防御

•为设置HttpOnly，避免被持

•对输入/输出进行检查，明确编码方式

跨站点请求(CSRF)

跨站请求(Cross-siterequestforgery,简称CSRF)，是一种挟制用户在当前已登

录的Web应