前端Web安全关键点

字数统计: 383阅读时长: 1 min

 2014/01/17 

数据与指令
- 数据：服务端、客户端、传输中(json,xml)、文本数据(javascript,css,html)
- 指令：HTML指令、JavaScript指令、等
浏览器的同源策略
- 同域：协议、域名、端口等必须一致；
- 客户端脚本 js,as(ActionScript),vbscript,es(ECMAScript)标准
- 授权：H5要求ajax跨域必须返回http响应头(Access-Control-Allow-Origin:xxxxx)
- 读写权限的区分
- 资源：这里侧重指的是：Web客户端的资源(HTTP消息头、整个DOM树，浏览器存储)
信任与信任关系APT(持久化威胁)

基础达人

解决兼容性：
- css的Hack技术：cssReset;
- js试用框架YUI，
<scheme>://<netloaction>/<path>?<query>#<fragment>

- HTTP的请求头包含:

    - 请求类型(GET/POST) 访问路径地址(xx.xx.com) http版本(http/1.1)    GET http://www.baidu.com http/1.1
    - host 网站域名    --->Host: www.baidu.com
    - User-Agent: 类型值 --->User-Agent: Mozilla/5.0 xxxxx
    - Referer: 来源网站  ---->Referer: http://www.sina.com
    - Cookie: key=value --->sessionid=xdfdff==xcf

- HTTP响应头包含： 
    - http版本 状态码 message   --->http/1.1 200 ok
    - 服务器信息： 服务器类型（系统类型）语言/版本 --->server: apache/2.2.8(win32) PHP/5.2.6
    - Contennt-Type: 类型与字符集 --->Content-Type: text/html;charset=utf-8
    - Contennt-Length:xxx 响应体长度
    - Set-Cookie: key=value; expire=过期时间; path=存储路径; domain=域名; [httponly客户端js脚本等不可读取该cookie]; [Secure 表名此cookie只可以通过https传输]

原文作者：Neo Anderson

原文链接：https://www.neofaster.cc/archives/edd696d1.html

发表日期：January 17th 2014, 9:21:45 pm

更新日期：August 27th 2021, 7:11:30 pm