《web前端黑客技术揭密》阅读笔记step1

1.SQL注入  服务器端，泄漏数据

2.XSS攻击  注入一段恶意指令，当用户 被诱骗点击 恶意构造 的连接，会执行该指令盗取Cookies会话信息到黑客网站，一般情况下可利用该Cookies登录被攻击者帐号。

相比XSS，CSRF 跨站请求伪造--通过伪装为站点的受信任用户提交表单来欺骗站点

同源策略：不同域的客户端脚本在没有明确授权下，不能读写对方资源

（例外：Access-Control-Origin：http://www.foo.com）

HTTP header：

referer： http://www.foo.com 从foo网站点击过来

Set-Cookie： 

HttpOnly：标志，如设置了，Cookies存在于HTTP层面，不允许客户端脚本读取

Secure：仅能通过HTTPS传输Cookies

iframe：嵌入页面

若不同源，跨域只能写location不能读，保护身份认证token存在于URL，若同域，可通过contentWindow操作

document.cookie获取

CORS cross-origin resource sharing  跨域资源共享，通过Access-Control-Origin

Access-Control-Allow-Credentials:true 允许跨域证书发送（IE不支持）

两者加起来才能实现