面试：安全类

问题

• CSRF
  • 基本概念和缩写
  • 攻击原理 
  • 防御措施
• XSS

CSRF

• 跨站请求伪造
• 原理：在B网站引诱用户访问A网站（用户之前登陆过A网站，浏览器cookie缓存了身份验证信息），调用A网站的接口攻击A网站
• 
• 防御：
  • Token验证
  • Referer验证:页面来源判断
  • 隐藏令牌： 隐藏在http头中

XSS

• 跨域脚本攻击
• 原理：向页面注入脚本，例如评论区
• 防御