本文列举了一些最常见的网站要挟以及怎么缓解这些要挟。在阅览时，请注意，当网站应用程序信赖或对浏览器的数据不行可疑时，要挟将怎么出现！
跨站脚本（XSS）
XSS是用于描述进犯类别的术语，该类别答应进犯者经过网站注入客户端履行的脚本，以针对其他用户的网站浏览器。由于注入的代码来自网站，因此网站浏览器认为它是安全的，因此能够履即将身份验证cookie从用户传递给进犯者的操作。一旦进犯者获得了该cookie，他就能够像被进犯的用户相同登录到该站点，并能够履行该用户能够做的任何事情。根据产生进犯的站点，这或许包括访问信用卡详细信息，联系信息，更改密码等。
注意：与其他类型相比，XSS缝隙历来是最常见的缝隙。
恳求站点将注入的脚本返回到网站浏览器的首要办法有两种，这些办法称为反射性 XMS缝隙和持久性 XSS缝隙。
当传递给服务器的用户内容当即返回，保持不变并显现在浏览器中时，就会产生一个反映的XSS缝隙-加载新页面时，将履行原始内容中的一切脚本！
以某个站点中的查找功能为例，在该站点中，查找词被编码为URL中的参数，而且这些词与成果一起永久显现。进犯者能够构建包括歹意脚本作为参数的查找链接（例如：http://mysite.com?q=beer），然后经过电子邮件将其发送给其他用户。如果方针用户单击此“风趣的链接”，则在显现查找成果时将履行脚本。如前所述，这为进犯者供给了运用受害者帐户登录网站所需的一切信息-或许以该用户的身份购物或访问联系人列表。
永久性 XSS缝隙将是一个歹意脚本，该歹意脚本被存储在网站上，然后在不做任何修正的情况下被其他用户稍候显现并在其不知情的情况下履行。
例如，承受包括纯HTML代码的注释的谈天屏幕能够存储进犯者的歹意脚本。当显现注释时，脚本将被履行，然后能够将访问用户帐户所需的信息发送给进犯者。这种进犯办法极为普遍和有效，因为进犯者无需与受害者建立直接关系。
运用POST或发送数据时GET 是XSS缝隙的最常见来历，来自网站浏览器的任何数据都或许遭到进犯（包括浏览器显现的cookie数据或已加载和显现的用户文件）。
防范XSS缝隙的最佳办法是删去或禁用或许包括履行代码指令的任何标记。为了这包括HTML标记，如，，，和。
有必要处理用户输入的数据，以确保他既不会履行脚本也不会干扰站点的正常运行（此进程称为 英文输入整理）。默许情况下，许多框架都在表单条目上供给此验证。
跨站点假造恳求（CSRF）
CSRF进犯答应歹意用户运用另一用户的标识符履行操作，而无需告诉或同意该用户。
最好用一个例子来说明这种进犯。John是歹意用户，他知道特定站点答应经过身份验证的用户运用HTTP POST恳求（包括帐号和金额）向特定帐户汇款。John构建了一个表格，其间包括他的帐号和躲藏（不可见）字段中的金额，并将其传输给该站点的另一个用户（将验证按钮伪装成指向站点的链接，以“致富”。）
如果用户单击验证按钮，则包括买卖信息的HTTP POST恳求以及网站浏览器与站点相关的cookie都将传输到服务器（添加到恳求中的与站点相关的cookie是正常的浏览器行为）。服务器将检查身份验证cookie，并运用它来确定用户是否登录，从而答应买卖。
跨站脚本（XSS）
XSS是用于描述进犯类别的术语，该类别答应进犯者经过网站注入客户端履行的脚本，以针对其他用户的网站浏览器。由于注入的代码来自网站，因此网站浏览器认为它是安全的，因此能够履即将身份验证cookie从用户传递给进犯者的操作。一旦进犯者获得了该cookie，他就能够像被进犯的用户相同登录到该站点，并能够履行该用户能够做的任何事情。根据产生进犯的站点，这或许包括访问信用卡详细信息，联系信息，更改密码等。
注意：与其他类型相比，XSS缝隙历来是最常见的缝隙。
恳求站点将注入的脚本返回到网站浏览器的首要办法有两种，这些办法称为反射性 XMS缝隙和持久性 XSS缝隙。
当传递给服务器的用户内容当即返回，保持不变并显现在浏览器中时，就会产生一个反映的XSS缝隙-加载新页面时，将履行原始内容中的一切脚本！
以某个站点中的查找功能为例，在该站点中，查找词被编码为URL中的参数，而且这些词与成果一起永久显现。进犯者能够构建包括歹意脚本作为参数的查找链接（例如：http://mysite.com?q=beer），然后经过电子邮件将其发送给其他用户。如果方针用户单击此“风趣的链接”，则在显现查找成果时将履行脚本。如前所述，这为进犯者供给了运用受害者帐户登录网站所需的一切信息-或许以该用户的身份购物或访问联系人列表。
永久性 XSS缝隙将是一个歹意脚本，该歹意脚本被存储在网站上，然后在不做任何修正的情况下被其他用户稍候显现并在其不知情的情况下履行。
例如，承受包括纯HTML代码的注释的谈天屏幕能够存储进犯者的歹意脚本。当显现注释时，脚本将被履行，然后能够将访问用户帐户所需的信息发送给进犯者。这种进犯办法极为普遍和有效，因为进犯者无需与受害者建立直接关系。
运用POST或发送数据时GET 是XSS缝隙的最常见来历，来自网站浏览器的任何数据都或许遭到进犯（包括浏览器显现的cookie数据或已加载和显现的用户文件）。
防范XSS缝隙的最佳办法是删去或禁用或许包括履行代码指令的任何标记。为了这包括HTML标记，如，，，和。
有必要处理用户输入的数据，以确保他既不会履行脚本也不会干扰站点的正常运行（此进程称为 英文输入整理）。默许情况下，许多框架都在表单条目上供给此验证。
跨站点假造恳求（CSRF）
CSRF进犯答应歹意用户运用另一用户的标识符履行操作，而无需告诉或同意该用户。
最好用一个例子来说明这种进犯。John是歹意用户，他知道特定站点答应经过身份验证的用户运用HTTP POST恳求（包括帐号和金额）向特定帐户汇款。John构建了一个表格，其间包括他的帐号和躲藏（不可见）字段中的金额，并将其传输给该站点的另一个用户（将验证按钮伪装成指向站点的链接，以“致富”。）
如果用户单击验证按钮，则包括买卖信息的HTTP POST恳求以及网站浏览器与站点相关的cookie都将传输到服务器（添加到恳求中的与站点相关的cookie是正常的浏览器行为）。服务器将检查身份验证cookie，并运用它来确定用户是否登录，从而答应买卖。
