当前位置： 首页 > news >正文

XSS CSRF

news 2026/3/29 19:36:52

XSS & CSRF

xss：跨站脚本攻击：注入一些非法的脚本

csrf：冒充身份

XSS

  • 反射型

/welcome：res.send(req.query.type) 输入什么就输出什么（httpOnly:false，但不是解决方案）

比如：?<script>alert(document.cookie)</script>

反射型：一定要用户先触发什么操作

原因：没有对内容进行过滤，直接返回到页面上。

对内容进行过滤

一般是服务器写得不安全

  • dom-base型

不基于后端，dom-based：修改了某个标签的属性或者往div里塞了东西

  • 存储型

持久性：恶意脚本已存储进数据库

核心解决方法：转义和过滤，过滤需要过滤的东西

CSRF

转账：访问了一些恶意页面，钱丢了

转账接口

跨站请求伪造

原理如下：

demo如下：cookie @todo

同源指的都是ajax，form img script link 都是不受跨域限制的。

防御措施：

添加验证码：每次校验验证码对不对

转账页面每次都会生成一个新的验证码，然后和你请求过来的进行比对。

前提：钓鱼网站是拿不到验证码的。钓鱼网站是拿不到正常网站（3000端口）的cookie，也就没法请求验证码。只能是伪造发请求。

判断请求的来源

req.headers.referer 。但是这个可伪造

token

服务器xxx模块-加密-生成token，然后每次请求携带上token，比对一下。用户是无知觉的。

不用输验证码，不用判断来源referer

相关文章：

XSS CSRF

XSS & CSRF xss&#xff1a;跨站脚本攻击&#xff1a;注入一些非法的脚本 csrf&#xff1a;冒充身份 XSS 反射型 /welcome&#xff1a;res.send(req.query.type) 输入什么就输出什么&#xff08;httpOnly:false&#xff0c;但不是解决方案&#xff09; 比如&#xff1a;?&…...

编程日记 2023/10/11 3:04:28

新加坡星银行项目组笔试题面试题

Java/Fullstack___开发常见问题收集&#xff1a;&#xff08;根据个人面试岗位进行参考&#xff09; 项目介绍部分 介绍最近做过的项目&#xff0c;项目中遇到的印象深刻的问题&#xff0c;如何解决&#xff1f;就项目用到的技术&#xff0c;自己的技术以及如何使用&#xff1…...

编程日记 2023/10/11 3:03:27

基于SpringBoot的智能物流管理系统

目录 前言 一、技术栈 二、系统功能介绍 顾客信息管理 员工信息管理 员工信息管理 门店信息管理 门店信息管理 订单信息管理 三、核心代码 1、登录模块 2、文件上传模块 3、代码封装 前言 随着信息技术在管理上越来越深入而广泛的应用&#xff0c;管理信息系统的实施…...

编程日记 2023/10/11 3:00:24

【开源电商网站】（2），使用docker-compose和dockerfile进行配置，设置自定义的镜像，安装插件，增加汉化包，支持中文界面汉化。

项目相关代代码地址 相关内容&#xff1a; https://blog.csdn.net/freewebsys/category_12461196.html 原文地址&#xff1a; https://blog.csdn.net/freewebsys/article/details/133666433 包括以下运行的详细代码&#xff1a; https://gitee.com/study-demo-all/oscommerc…...

编程日记 2023/10/11 2:59:22

HTML5开发实例-3D全景(ThreeJs全景Demo) 详解（图）

前言 在现在市面上很多全景H5的环境下，要实现全景的方式有很多，可以用css3直接构建也可以用基于threeJs的库来实现，还有很多别的制作全景的软件使用 本教学适用于未开发过3D全景的工程狮 如果觉得内容太无聊可以直接跳到最后 下载代码 理论 整个3D全景所用的相关理论就…...

编程日记 2023/10/11 2:58:21

springboot项目静态资源映射

1. springboot项目静态资源映射 import org.springframework.boot.web.client.RestTemplateBuilder; import org.springframework.context.annotation.Bean; import...

编程日记 2023/10/11 2:56:15

【Linux初阶】多线程1 | 页表的索引作用，线程基础（优缺点、异常、用途），线程VS进程，线程控制，C++多线程引入

文章目录 ☀️一、深入理解页表☀️二、Linux线程概念&#x1f33b;1.什么是线程&#xff08;重点&#xff09;⚡&#xff08;1&#xff09;线程的概念⚡&#xff08;2&#xff09;线程库初识 &#x1f33b;2.线程的优点&#x1f33b;3.线程的缺点&#x1f33b;4.线程异常&…...

编程日记 2023/10/11 2:55:15

Flink--9、双流联结（窗口联结、间隔联结）

星光下的赶路人star的个人主页 我还有改变的可能性&#xff0c;一想起这点&#xff0c;我就心潮澎湃 文章目录 1、基于时间的合流——双流联结&#xff08;Join&#xff09;1.1 窗口联结&#xff08;Window Join&#xff09;1.2 间隔联结&#xff08;Interval Join&#xff09;…...

编程日记 2023/10/11 2:54:14

家政服务行业做开发微信小程序可以实现什么功能

家政服务行业开发微信小程序可以实现多种功能&#xff0c;从而提升服务品质和效率&#xff0c;下面我们来详细介绍一些可能实现的功能。 一、展示服务信息 家政服务微信小程序可以展示各种服务信息&#xff0c;包括各类家政服务项目、价格、服务流程、服务人员信息等。用户可以…...

编程日记 2023/10/11 2:53:12

20哈希表-三数之和

目录 LeetCode之路——15. 三数之和 分析&#xff1a; 官方题解&#xff1a; LeetCode之路——15. 三数之和 给你一个整数数组 nums &#xff0c;判断是否存在三元组 [nums[i], nums[j], nums[k]] 满足 i ! j、i ! k 且 j ! k &#xff0c;同时还满足 nums[i] nums[j] nu…...

编程日记 2023/10/11 2:52:11

JVM 运行时数据区和垃圾收集算法

在 《深入理解 Java 虚拟机》一书中&#xff0c;作者将运行时数据区和垃圾收集算法放在开头章节&#xff0c;说明了这两个知识点是进一步学习 JVM 的基础知识点&#xff0c;相比后续的 垃圾收集器和 JMM&#xff0c;它也更加的简单。 运行时数据区 运行时数据区是《Java 虚拟…...

编程日记 2023/10/11 2:51:10

Java基于SpringBoot的高校招生系统

博主介绍&#xff1a;✌程序员徐师兄、7年大厂程序员经历。全网粉丝30W、csdn博客专家、掘金/华为云/阿里云/InfoQ等平台优质作者、专注于Java技术领域和毕业项目实战✌ 文章目录 简介系统设计思路1 数据库设计2 系统整体设计 系统详细设计1系统功能模块2. 管理员功能模块3学生…...

编程日记 2023/10/11 2:50:09

6. Python使用Asyncio开发TCP服务器简单案例

1. 说明 在Python中开发TCP/IP服务器有两种方式&#xff0c;一种使用Socket&#xff0c;需要在py文件中引入对应的socket包&#xff0c;这种方式只能执行单项任务&#xff1b;另一种方式使用Asyncio异步编程&#xff0c;可以一次创建多个服务器执行不同的任务。 2. 接口说明 …...

编程日记 2023/10/11 2:49:08

景联文科技：AI大模型强势赋能，助力自动驾驶迭代升级

我国一直以来都将自动驾驶作为新兴产业发展的重点领域之一&#xff0c;工信部等相关部委出台了一系列自动驾驶发展战略、规划和标准&#xff0c;一些地方政府也在积极开展关于自动驾驶的地方立法&#xff0c;为自动驾驶技术的研发和应用提供更加具体的法律保障。例如&#xff0…...

编程日记 2023/10/11 2:48:07

多周期CPU设计

多周期CPU设计 指令类型clock skew 指令类型 在计算机体系结构中&#xff0c;指令可以分为不同的类型&#xff0c;通常有R-type、I-type和J-type指令。 R-type指令&#xff08;Register-type指令&#xff09;&#xff1a; R-type指令通常用于执行寄存器之间的操作&#xff0c;…...

编程日记 2023/10/11 2:47:06

Go 复合类型之字典类型介绍

Go 复合类型之字典类型介绍 文章目录 Go 复合类型之字典类型介绍一、map类型介绍1.1 什么是 map 类型&#xff1f;1.2 map 类型特性 二.map 变量的声明和初始化2.1 方法一&#xff1a;使用 make 函数声明和初始化&#xff08;推荐&#xff09;2.2 方法二&#xff1a;使用复合字…...

编程日记 2023/10/11 2:46:04

对于无法直接获取URL的数据爬虫

在爬学校安全教育题库的时候发现题库分页实际上执行了一段js代码&#xff0c;如下图所示 点击下一页时是执行了函数doPostBack&#xff0c;查看页面源码如下 点击下一页后这段js提交了一个表单&#xff0c;随后后端返回对应数据&#xff0c;一开始尝试分析获取对应两个参数&a…...

编程日记 2023/10/11 2:45:03

35.树与二叉树练习（1）（王道第5章综合练习）

【所用的树&#xff0c;队列&#xff0c;栈的基本操作详见上一节代码】 试题1&#xff08;王道5.3.3节第3题&#xff09;&#xff1a; 编写后序遍历二叉树的非递归算法。 参考&#xff1a;34.二叉链树的C语言实现_北京地铁1号线的博客-CSDN博客https://blog.csdn.net/qq_547…...

编程日记 2023/10/11 2:44:01

JSON数据处理工具-在线工具箱网站tool.qqmu.com的使用指南

导语&#xff1a;无论是处理JSON数据、进行文本数字处理、解码加密还是使用站长工具&#xff0c;我们都希望能够找到一个功能强大、简便易用的在线平台。tool.qqmu.com作为一款瑞士军刀般的在线工具箱网站&#xff0c;满足了众多用户的需求。本文将介绍tool.qqmu.com的多项功能…...

编程日记 2023/10/11 2:42:59

leetcode：190. 颠倒二进制位

一、题目&#xff1a; 函数原型&#xff1a; uint32_t reverseBits(uint32_t n) 解释&#xff1a;uint32是无符号int或short的别称&#xff0c;传入的参数是一个32位二进制串&#xff0c;返回值是该32位二进制串逆序后的十进制值 二、思路&#xff1a; 实际上并不需要真的去逆…...

编程日记 2023/10/11 2:41:58

GitLab实战：如何用rebase -i优雅合并多个commit（附常见错误排查）

Git提交历史优化&#xff1a;交互式rebase高阶操作指南 1. 为什么需要整理Git提交历史 在团队协作开发中&#xff0c;我们经常会遇到提交历史杂乱无章的情况。想象一下这样的场景&#xff1a;你完成了一个新功能的开发&#xff0c;但在这个过程中产生了十几个零散的提交记录&am…...

编程新知 2026/3/29 18:25:27

如何评价目前主流的AI论文生成软件？哪一款最好用？

目前主流 AI 论文工具已形成清晰的中文全流程、英文国际、文献 / 润色专项三大阵营&#xff0c;PaperRed、毕业之家是中文论文全流程首选&#xff0c;ChatGPT-4o、Claude 3.7适合英文与深度逻辑&#xff0c;Kimi、Elicit专攻文献处理。没有绝对 “最好”&#xff0c;只有最适配…...

编程新知 2026/3/29 16:56:31

Windows下QGIS 3.28.6二次开发环境配置避坑指南（Qt5.15+VS2022实战）

Windows下QGIS 3.28.6二次开发环境配置实战&#xff1a;Qt5.15与VS2022深度适配指南 当GIS开发者决定在Windows平台进行QGIS二次开发时&#xff0c;版本兼容性问题往往成为第一道门槛。本文将深入剖析Qt5.15与Visual Studio 2022的组合在QGIS 3.28.6开发中的关键配置细节&#…...

编程新知 2026/3/29 16:44:28

Qwen3-0.6B-FP8辅助Java八股文学习：智能抽题与答案要点生成

Qwen3-0.6B-FP8辅助Java八股文学习&#xff1a;智能抽题与答案要点生成 1. 引言&#xff1a;当面试备考遇上AI 准备Java面试&#xff0c;尤其是那些经典的“八股文”题目&#xff0c;对很多程序员来说是个既熟悉又头疼的过程。你可能也经历过&#xff1a;面对厚厚的面试宝典&…...

编程新知 2026/3/29 16:04:17

ROS2编译踩坑记：从‘--symlink-install’到CMake参数传递的避坑指南

ROS2编译实战避坑指南&#xff1a;从符号链接到参数传递的深度解析 第一次接触ROS2的编译系统时&#xff0c;那种既熟悉又陌生的感觉让我记忆犹新。作为从ROS1迁移过来的开发者&#xff0c;本以为colcon不过是catkin的简单升级&#xff0c;直到在项目构建过程中踩了无数坑之后…...

编程新知 2026/3/29 15:11:46

VRCX：基于现代Web技术栈的VRChat社交数据聚合与可视化平台架构解析

VRCX&#xff1a;基于现代Web技术栈的VRChat社交数据聚合与可视化平台架构解析 【免费下载链接】VRCX Friendship management tool for VRChat 项目地址: https://gitcode.com/GitHub_Trending/vr/VRCX 在虚拟现实社交平台VRChat日益复杂的社交生态中&#xff0c;传统客…...

编程新知 2026/3/29 14:53:42

Spring Authorization Server Redis缓存优化：构建高性能分布式授权服务的架构设计与性能调优指南

Spring Authorization Server Redis缓存优化&#xff1a;构建高性能分布式授权服务的架构设计与性能调优指南 【免费下载链接】spring-authorization-server Spring Authorization Server 项目地址: https://gitcode.com/gh_mirrors/sp/spring-authorization-server 在现…...

编程新知 2026/3/29 14:39:40

libusb+zadig实战：Windows USB设备驱动快速配置指南

1. 为什么需要libusb和zadig组合&#xff1f; 如果你在Windows系统上开发过USB设备应用&#xff0c;大概率遇到过这样的场景&#xff1a;明明代码逻辑没问题&#xff0c;设备也连接正常&#xff0c;但程序就是无法正常访问USB设备。这种情况往往是因为Windows系统的安全机制在…...

编程新知 2026/3/29 13:49:12

如何让零基础快速掌握3D资产生成：颠覆式AI工具Hunyuan3D-2实战指南

如何让零基础快速掌握3D资产生成&#xff1a;颠覆式AI工具Hunyuan3D-2实战指南 【免费下载链接】Hunyuan3D-2 High-Resolution 3D Assets Generation with Large Scale Hunyuan3D Diffusion Models. 项目地址: https://gitcode.com/GitHub_Trending/hu/Hunyuan3D-2 技术…...

编程新知 2026/3/29 12:52:17

手把手教你解决winget的InternetOpenUrl() failed错误（含GitHub镜像加速）

深度解析winget的InternetOpenUrl() failed错误及高效解决方案 当你满怀期待地打开终端&#xff0c;准备用winget快速安装一个开发工具时&#xff0c;突然跳出的"InternetOpenUrl() failed. 0x80072efd"错误提示无疑是一盆冷水。这个看似简单的网络连接问题背后&…...

编程新知 2026/3/29 12:42:14