一、XSS
【Cross Site Script】跨站脚本攻击
恶意攻击者往Web页面里插入恶意Script代码，当用户进入带货直播源码页面时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。
防御方法：
1.过滤关键字：script javascript等
/**
* [hasIllegalChar 判断是否含有script非法字符]
* @param {[type]} str [要判断的字符串]
* @return {Boolean} [true：含有，验证不通过；false:不含有，验证通过]
*/ function hasIllegalChar(str) {
return new RegExp(".*?script[^>]*?.*?(<\/.*?script.*?>)*", "ig").test(str);
}
2.带货直播源码限制输入，规定输入的只能是某些格式的数据
/**
将含有<>等符号转化为其他字符简单方便
**/
function safeStr(str){
return str.replace(/</g,'<').replace(/>/g,'>').replace(/"/g, """).replace(/'/g, "'");
}
二、 CSRF
【Cross Site Request Forgery】站点伪造请求
跨站点参考伪造通过在访问用户被认为已经通过身份验证的带货直播源码页面中包含恶意代码或链接来工作。 如果带货直播源码的会话没有超时，攻击者可能执行未授权的命令。
防御方法：
1.在请求地址中添加 token 并验证
2.在HTTP 头中自定义属性并验证
3.验证 HTTP Referer 字段 ;
（Http协议头中的Referer主要用来让服务器判断来源页面, 即用户是从哪个页面来的,通常被网站用来统计用户来源,是从搜索页面来的,还是从其他网站链接过来,或是从书签等访问,以便网站合理定位.Referer有时也被用作防盗链, 即下载时判断来源地址是不是在网站域名之内, 否则就不能下载或显示.）
三、SQL注入
用户可以提交一段数据库查询代码，根据带货直播源码返回的结果，获得某些他想得知的数据。
防御方法：
1.采用sql语句预编译和绑定变量，是防御sql注入的最佳方法。采用JDBC的预编译语句集，它内置了处理SQL注入的能力，只要使用它的setXXX方法传值即可。
2.使用正则表达式来过滤一些sql关键字，如or、where等。
四、文件上传攻击
防御方法：
文件上传的目录设置为不可执行。
判断文件类型。在判断文件类型的时候，可以结合使用MIME Type，后缀检查等方式。因为对于上传文件，不能简单地通过后缀名称来判断文件的类型，因为攻击者可以将可执行文件的后缀名称改为图片或其他后缀类型，诱导用户执行。
对上传的文件类型进行白名单校验，只允许上传可靠类型。
上传的文件需要进行重新命名，使攻击者无法猜想上传文件的访问路径，将极大地增加攻击成本。
限制上传文件的大小。
带货直播源码单独设置文件服务器的域名。
声明：本文由云豹科技转发自王湘佰BLOG博客，如有侵权请联系作者删除
来自 “ ITPUB博客 ” ，链接：https://blog.itpub.net/69982461/viewspace-2787437/ ，如需转载，请注明出处，否则将追究法律责任。
