Web 安全

XSS 跨站脚本攻击与 CSP

XSS 让攻击者控制的脚本在目标站点上下文运行。按输出上下文编码、避免危险 DOM 接口并净化允许的 HTML 可降低风险。

CSP 可用 nonce 或 hash 限制脚本执行，作为额外防线。HttpOnly 可限制 Cookie 读取，恶意脚本仍可能代发请求。

CSRF 跨站请求伪造与防护

CSRF 利用浏览器自动附带凭证的行为，诱导受害者发出有副作用的请求。常用防护包括 CSRF Token、校验 Origin 和适当的 SameSite。

有副作用的操作避免使用 GET。攻击者通常无需读取响应即可触发操作。

CORS 与 CSRF 防护的边界

CORS 控制跨源响应是否向脚本开放，并对部分请求执行发送前检查。CSRF 防护校验操作是否来自允许的上下文。

简单跨源请求可在没有 CORS 许可时到达服务器。依赖 Cookie 的状态变更接口需要独立防护。