xss攻击解决方案java_防止XSS攻击解决方案(转载)

XSS又叫CSS英文缩写为Cross Site Script

中文意思为跨站脚本攻击

具体内容指的是恶意攻击者往Web页面里插入恶意html代码&＃xff0c;当用户浏览该页之时&＃xff0c;

嵌入其中Web里面的html代码会被执行&＃xff0c;从而达到恶意用户的特殊目的.

解决方案

第一。过滤

过滤 标签 等字符 &＃xff0c;但是这样 对用户是不公平的。

第二。用asii 码替换

如   &＃xff01; 等

第三 。 用 element.innerText 显示用户数据

这样要写大量的 js

第四。 使用

但是要防止攻击代码在数据中间插入

第五。通过 frame 来防止 数据页面攻击 主页面

使用 document.domain 属性 来控制

body

{

font-size:12px;

}

//frame1的document

var oDocument&＃61;null;

//响应frame1的onload事件

function frame1_onload()

{

//旧的domain

var sDomainOld&＃61;document.domain;

//降级domain

document.domain&＃61;"pimshell.com";

//保存frame1的document

oDocument&＃61;frame1.document;

//恢复domain

document.domain&＃61;sDomainOld;

//准备就绪

button1.disabled&＃61;false;

}

//改变IFrame的背景颜色

function changebackcolor()

{

if(oDocument.body.style.backgroundColor&＃61;&＃61;"")

oDocument.body.style.backgroundColor&＃61;"blue";

else

oDocument.body.style.backgroundColor&＃61;"";

}

为了避免XSS跨站攻击&＃xff0c;在大多数html编辑器的设计中&＃xff0c;都是要将用户输入的HTML内容进行过滤。过滤代码繁琐暂且不说&＃xff0c;关键是不能保证考虑到所有已知和未知的攻击类型。

如果我们能设计一个iframe的单向访问模型&＃xff0c;就可以让用户输入的HTML内容在受控的环境中执行&＃xff0c;也就不需要再进行过滤了。

举例来说&＃xff0c;我们html编辑器所在的主页面为a&＃xff0c;嵌入一个iframe为b。a可以访问b的内容&＃xff0c;而b却不能访问a的内容。这样的话&＃xff0c;b中的HTML内容即使包含攻击代码&＃xff0c;也无法发挥作用了。