Web安全攻防实战

XSS跨站脚本攻击分为反射型、存储型、DOM型。HTTPOnly和Secure标志保护Cookie。CSRF令牌防止跨站请求伪造。CSP内容安全策略缓解XSS。SQL注入使用参数化查询预防。文件上传需要严格验证文件类型和内容。CSRF和SSRF容易混淆，前者是用户被诱导执行操作，后者是服务器被诱导访问内部资源。点击劫持使用iframe覆盖页面。中间人攻击使用HTTPS防御。安全headers如X-Frame-Options、HSTS增强防护。