本文目录一览：
- 1、程序员需要具备哪些东西？
- 2、xss日版 还需要改地区吗
- 3、用JAVA做一个网站，现在要做防止XSS攻击，请问怎么防止这种攻击
- 4、如何防止xss攻击，需要过滤什么
- 5、xboxsx和xboxss的区别
程序员需要具备哪些东西？
程序员必须要了解的web安全
1.简述
互联网本来是安全的，自从有了研究安全的人之后，互联网就变得不安全了。
1.1什么是安全？
字典的解释是指没有受到威胁、没有危险、危害、损失。
1.2什么情况下会产生安全问题？
类似我们在机场，火车站里面，乘客开始上车之前，都会有一个必要的程序：安全检查。如果没有安全检查我们就会产生我们所谓的安全问题。在安全检查中我们会检查乘客身上是否携带了打火机，可燃液体等危险物品。
从上面我们看出为什么我们会有安全检查呢？归根结底还是信任问题。因为我们的信任关系被破坏，从而产生了安全问题。
1.3怎么进行有效的安全评估？
一个安全评估过程，可以简单地划分为4个阶段：资产等级划分，威胁分析，风险分析，确认解决方案。
资产等级划分：明确我们目标是什么，要保护什么。互联网安全的核心问题，其实是数据安全问题。用户的数据也就是我们需要保护的。
威胁分析：找到所有可能造成危害的来源，一般采用头脑风暴列举所有的情况。
风险分析：预估造成的损失大小。
确认解决安全方案：安全评估的产出物，就是确认安全解决方案。解决方案一定要有针对性，这种针对性是由资产等级划分，威胁分析，风险分析，确认解决方案。
2.浏览器安全
近年来随着互联网的发展，人们发现浏览器才是互联网更大的入口，绝大多数用户使用互联网的工具是浏览器。因此浏览器市场的竞争也日趋白热化。浏览器安全在这种激烈竞争的环境中被越来越多的人所重视。
2.1同源策略
浏览器的安全都是以同源为基础，它是浏览器最核心也最基本的安全功能，如果缺少了同源策略，则浏览器的正常功能可能都会受到影响。
浏览器的同源策略，限制了来自不同源的“document”或脚本，对当前"document"读取或设置某些属性。
这一策略很重要，试想一下如果没有同源策略，可能 *** 的一段 *** 脚本，在b.com未曾加载此脚本时，也可以随意涂改b.com的页面。为了不让浏览器的页面行为发生混乱，浏览器提出了“Origin”这一概念，来自不同Origin的对象无法互相干扰。
影响“源”的因素有：host,子域名，端口，协议。
2.2恶意网址拦截
恶意网址拦截的工作原理很简单，一般都是浏览器周期性地从服务器端获取一份最新的恶意网址黑名单，如果用户上网时访问的网址存在于此黑名单中，浏览器就会弹出一个警告页面。
3.跨站脚本攻击
跨站脚本攻击(XSS)是客户端脚本安全中的头号大敌。
XSS：跨站脚本攻击，英文名称是Cross Site Script，本来缩写是CSS，为了和层叠样式的CSS有所区别，所以在安全领域叫“XSS”。
3.1XSS攻击
XSS攻击，通常指黑客通过“HTML注入”篡改可网页，插入了恶意的脚本，从而在用户浏览网页时，控制用户浏览器的一种攻击。举个例子：某个黑客发表了一篇文章其中包含了恶意的 *** 代码，所有访问这篇文章的人都会执行这段 *** 代码，这样就完成XSS攻击。
3.2反射型XSS
反射型XSS只是简单地把用户输入的数据反射给浏览器。也就是说，黑客往往需要引诱用户点击一个而已连接，才能攻击成功
3.3存储型XSS
存储型会把用户输入的数据“存储”在服务器端。这种XSS具有很强的稳定性。黑客把恶意的脚本保存到用户的服务器端，所以这种攻击就是存储型，理论上来说，它存在的时间是比较长的。
3.4 XSS的防御
XSS的防御是复杂的。
3.4.1 HttpOnly
HttpOnly最早是由微软提出，并在IE6中实现的，至今已经逐渐成为了一个标准。浏览器将禁止页面的 *** 访问带有HttpOnly属性的Cookie。
其实严格地说，HttpOnly并非为了对抗XSS——HttpOnly解决的是XSS后的Cookie劫持攻击。HttpOnly现在已经基本支持各种浏览器，但是HttpOnly只是有助于缓解XSS攻击，但仍然需要其他能够解决XSS漏洞的方案。
3.4.2 输入检查
在XSS的防御上，输入检查一般是检查用户输入的数据中是否包含一些特殊字符，如,等等。如果发现这些字符，则将字符过滤或者编码。这种输入检查的方式，可以叫“XSS Filter”。互联网上于很多开源的“XSS Filter”的实现。
XSS Filter在用户提交数据时获取变量，并进行XSS检查；但此时用户数据并没有结合渲染页面的HTML代码，因此XSS Filter对语境的理解并不完整。甚至有可能用户输入13，直接会把符号给过滤掉，所以一个好的XSSFilter是比较重要的。
3.4.3输出检查
一般来说，除了富文本的书除外，在变量输出到HTML页面时，可以使用编码火转移的方式来防御XSS攻击。和输入检查差不多。
xss日版 还需要改地区吗
需要。
各个地区不一样语言就会不同，如果你觉得日语版你可以适应，那么就不需要换地区。因为xss日版里面的语言文字设置就是日语。
但是你要追求中文比较多，那么就建议你把地区换成香港，这样游戏里面显示的就是中文。香港地区的语言文字设置就是简体中文。对于国内大多数人来说把地区换了还是比较友好的。
用JAVA做一个网站，现在要做防止XSS攻击，请问怎么防止这种攻击
过滤特定符号pre t="code" l="java" public static String guolv(String a) {
a = a.replaceAll("%22", "");
a = a.replaceAll("%27", "");
a = a.replaceAll("%3E", "");
a = a.replaceAll("%3e", "");
a = a.replaceAll("%3C", "");
a = a.replaceAll("%3c", "");
a = a.replaceAll("", "");
a = a.replaceAll("", "");
a = a.replaceAll("\"", "");
a = a.replaceAll("'", "");
a = a.replaceAll("\\+", "");
a = a.replaceAll("\\(", "");
a = a.replaceAll("\\)", "");
a = a.replaceAll(" and ", "");
a = a.replaceAll(" or ", "");
a = a.replaceAll(" 1=1 ", "");
return a;
}
如何防止xss攻击，需要过滤什么
XSS攻击通常是指黑客通过"HTML注入"篡改了网页，插入了恶意的脚本，从而在用户浏览网页时，控制用户浏览器的一种攻击。
一、HttpOnly防止劫取Cookie
HttpOnly最早由微软提出，至今已经成为一个标准。浏览器将禁止页面的Javascript访问带有HttpOnly属性的Cookie。目前主流浏览器都支持，HttpOnly解决是XSS后的Cookie支持攻击。
我们来看下百度有没有使用。
未登录时的Cookie信息
可以看到，所有Cookie都没有设置HttpOnly，现在我登录下
发现在个叫BDUSS的Cookie设置了HttpOnly。可以猜测此Cookie用于认证。
下面我用PHP来实现下：
?php
header("Set-Cookie: cookie1=test1;");
header("Set-Cookie: cookie2=test2;httponly",false);
setcookie('cookie3','test3',NULL,NULL,NULL,NULL,false);
setcookie('cookie4','test4',NULL,NULL,NULL,NULL,true);
?
script
alert(document.cookie);
/script
js只能读到没有HttpOnly标识的Cookie
二、输入检查
输入检查一般是检查用户输入的数据中是否包含一些特殊字符，如、、'、"等，如果发现存在特殊字符，则将这些字符过滤或者编码。
例如网站注册经常用户名只允许字母和数字的组合，或者邮箱 *** ，我们会在前端用js进行检查，但在服务器端代码必须再次检查一次，因为客户端的检查很容易绕过。
网上有许多开源的“XSS Filter”的实现，但是它们应该选择性的使用，因为它们对特殊字符的过滤可能并非数据的本意。比如一款php的lib_filter类：
$filter = new lib_filter();
echo $filter-go('1+11');
它输出的是1，这大大歪曲了数据的语义，因此什么情况应该对哪些字符进行过滤应该适情况而定。
三、输出检查
大多人都知道输入需要做检查，但却忽略了输出检查。
1、在HTML标签中输出
如代码：
?php
$a = "scriptalert(1);/script";
$b = "img src=# onerror=alert(2) /";
?
div?=$b?/div
a href="#"?=$a?/a
这样客户端受到xss攻击，解决 *** 就是对变量使用htmlEncode,php中的函数是htmlentities
?php
$a = "scriptalert(1);/script";
$b = "img src=# onerror=alert(2) /";
?
div?=htmlentities($b)?/div
a href="#"?=htmlentities($a)?/a
2、在HTML属性中输出
div id="div" name ="$var"/div
这种情况防御也是使用htmlEncode
在owasp-php中实现：
$immune_htmlattr = array(',', '.', '-', '_');
$this-htmlEntityCodec-encode($this-immune_htmlattr, "\"script123123;/script\"");
3、在script标签中输出
如代码：
?php
$c = "1;alert(3)";
?
script type="text/javascript"
var c = ?=$c?;
/script
这样xss又生效了。首先js变量输出一定要在引号内，但是如果我$c = "\"abc;alert(123);//"，你会发现放引号中都没用，自带的函数都不能很好的满足。这时只能使用一个更加严格的JavascriptEncode函数来保证安全——除数字、字母外的所有字符，都使用十六进制"\xHH"的方式进行编码。这里我采用开源的owasp-php *** 来实现
$immune = array("");
echo $this-javascriptCodec-encode($immune, "\"abc;alert(123);//");
最后输出\x22abc\x3Balert\x28123\x29\x3B\x2F\x2F
4、在事件中输出
a href="#" onclick="funcA('$var')" test/a
可能攻击 ***
a href="#" onclick="funcA('');alter(/xss/;//')"test/a
这个其实就是写在script中，所以跟3防御相同
5、在css中输出
在owasp-php中实现：
$immune = array("");
$this-cssCodec-encode($immune, 'background:expression(window.x?0:(alert(/XSS/),window.x=1));');
6、在地址中输出
先确保变量是否是"http"开头，然后再使用js的encodeURI或encodeURIComponent *** 。
在owasp-php中实现：
$instance = ESAPI::getEncoder();
$instance-encodeForURL(‘url’);
四、处理富文体
就像我写这篇博客，我几乎可以随意输入任意字符，插入图片，插入代码，还可以设置样式。这个时要做的就是设置好白名单，严格控制标签。能自定义 css件麻烦事，因此更好使用成熟的开源框架来检查。php可以使用htmlpurify
五、防御DOM Based XSS
DOM Based XSS是从javascript中输出数据到HTML页面里。
script
var x = "$var";
document.write("a href='"+x+"'test/a");
/script
按照三中输出检查用到的防御 *** ，在x赋值时进行编码，但是当document.write输出数据到HTML时，浏览器重新渲染了页面，会将x进行解码，因此这么一来，相当于没有编码，而产生xss。
防御 *** ：首先，还是应该做输出防御编码的，但后面如果是输出到事件或脚本，则要再做一次javascriptEncode编码，如果是输出到HTML内容或属性，则要做一次HTMLEncode。
会触发DOM Based XSS的地方有很多：
document.write()、document.writeln()、xxx.innerHTML=、xxx.outerHTML=、innerHTML.replace、document.attachEvent()、window.attachEvent()、document.location.replace()、document.location.assign()
xboxsx和xboxss的区别
XSX是一款面向次世代游戏大作的高性能主机，强调的是顶级游戏体验，主要跟索尼PS5竞争
XSS更多用来推广微软XGP游戏订阅服务，以次世代入门体验和超低价格吸引新老玩家升级换代。
游戏性能：XSX支持4K@120FPS，更高可实现8K HDR号输出；XSS主攻1440P@60FPS。
_ CPU：CPU核心数方面两者一致，XSS频率标定下调0.2GHz，处理能力不会有太明显的区别。
_ GPU：差异巨大。XSX拥有52组CU，频率1.825GHz，单精度浮点达到12 TFLOPS；XSS只有20组CU，频率下降到1.565GHz，浮点运算能力4 RFLOPS，从数值上来看甚至低于X1X由于使用AMD最新的RDNA 2.0架构，以及半精度浮点和可变速率阴影等技术的影响，XSS实际性能大概比X1X提升10%-20%左右。
_ 内存：XSX拥有16GB GDDR6内存，320位宽总线；XSS内存砍到10GB DDR6，128位宽总线；
_ I/O吞吐量：一致，都是2.4GB/S（原始），4.8GB/S（压缩，具备定制硬件解压模块）
_ 储存：XSX自带1TB定制SSD硬盘，安装完系统后，实际可用空间800G左右；XSS总硬盘容量500GB，实际可用大概只有364G，空间相对会有一些紧张（大概4-5个3A游戏）。
_ 扩容：两款产品都支持通过定制的1TB扩展卡进行扩容，也可以通过外接USB3.1 SSD移动硬盘的方式，容纳Xbox One世代游戏（专用拓展卡价格不便宜，一般还是移动硬盘更划算一些）。