本文目录一览：
3大Web安全漏洞防御详解：XSS、CSRF、以及SQL注入解决方案
随着互联网的普及， *** 安全变得越来越重要。Java等程序员需要掌握基本的web安全知识，防患于未然，下面列举一些常见的安全漏洞，以及对应的防御解决方案。
1.前端安全
2.后端安全
1.XSS简介
跨站脚本（cross site script）简称为XSS，是一种经常出现在web应用中的计算机安全漏洞，也是web中最主流的攻击方式。
XSS是指恶意攻击者利用网站没有对用户提交数据进行转义处理或者过滤不足的缺点，进而添加一些代码，嵌入到web页面中去，使别的用户访问都会执行相应的嵌入代码。
2.XSS攻击的危害
1、盗取用户资料，比如：登录帐号、网银帐号等
2、利用用户身份，读取、篡改、添加、删除企业敏感数据等
3、盗窃企业重要的具有商业价值的资料
4、非法转账
5、强制发送电子邮件
6、网站挂马
7、控制受害者机器向其它网站发起攻击
3.防止XSS解决方案
XSS的根源主要是没完全过滤客户端提交的数据 ，所以重点是要过滤用户提交的信息。
1.CSRF简介
CSRF（Cross-site request forgery）跨站请求伪造，也被称为“One Click Attack”或者Session Riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。
XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与XSS攻击相比，CSRF更具危险性。
2.CSRF攻击的危害
主要的危害来自于，攻击者盗用了用户身份，发送恶意请求。比如：模拟用户的行为发送邮件，发消息，以及支付、转账等财产安全。
3.防止CSRF的解决方案
1.简介
SQL注入是比较常见的 *** 攻击方式之一，主要是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，实现无帐号登录，甚至篡改数据库。
2.SQL注入的危害
3.防止SQL注入的方式
通常情况下，SQL注入的位置包括：
（1）表单提交，主要是POST请求，也包括GET请求；
（2）URL参数提交，主要为GET请求参数；
（3）Cookie参数提交；
（4）HTTP请求头部的一些可修改的值，比如Referer、User_Agent等；
4.简要举例
举一个简单的例子,select * from user where id=100 ,表示查询id为100的用户信息，如果id=100变为 id=100 or 2=2,sql将变为：select * from user where id=100 or 2=2，将把所有user表的信息查询出来，这就是典型的sql注入。
5.防止SQL注入的解决方案
1）对用户的输入进行校验，使用正则表达式过滤传入的参数
2）使用参数化语句，不要拼接sql，也可以使用安全的存储过程
3）不要使用管理员权限的数据库连接，为每个应用使用权限有限的数据库连接
4）检查数据存储类型
5）重要的信息一定要加密
总之就是既要做好过滤与编码并使用参数化语句，也要把重要的信息进行加密处理，这样sql注入漏洞才能更好的解决。
以上就是Web安全介绍，更多Redis系列、Spring Cloud、Dubbo等微服务、MySQL数据库分库分表等架构设计，具体请参考：
回复关键词 【高并发】即可获取！
什么是Whois保护 域名隐私保护
whois（读作“Who is”，非缩写）是用来查询域名的IP以及所有者等信息的传输协议。简单说，whois就是一个用来查询域名是否已经被注册，以及注册域名的详细信息的数据库（如域名所有人、域名注册商）。通过whois来实现对域名信息的查询。早期的whois查询多以命令列接口存在，但是现在出现了一些网页接口简化的线上查询工具，可以一次向不同的数据库查询。网页接口的查询工具仍然依赖whois协议向服务器发送查询请求，命令列接口的工具仍然被系统管理员广泛使用。whois通常使用TCP协议43端口。每个域名/IP的whois信息由对应的管理机构保存。
不同域名后缀的whois信息需要到不同的whois数据库查询。如.com的whois数据库和.edu的就不同。目前国内提供WHOIS查询服务的网站有万网、站长之家的等。每个域名或IP的WHOIS信息由对应的管理机构保存，例如，以.com结尾的域名的WHOIS信息由.com域名运营商VeriSign管理，中国国家顶级域名.cn域名由CNNIC管理。
“WHOIS”是当前域名系统中不可或缺的一项信息服务。在使用域名进行Internet冲浪时，很多用户希望进一步了解域名、名字服务器的详细信息，这就会用到WHOIS。对于域名的注册服务机构（registrar）而言，要确认域名数据是否已经正确注册到域名注册中心（registry），也经常会用到WHOIS。直观来看，WHOIS就是链接到域名数据库的搜索引擎，一般来说是属于 *** 信息中心（NIC）所提供和维护的名字服务之一。
域名如何实现whois信息保护
不同的域名注册商提供的域名隐私保护服务略有不同，但大致思路都是在Whois数据库中将你的信息隐藏起来，有些信息(如邮箱以及注册人、公司)则是使用注册商自己的信息。这样一来，别人通过一般的Whois查询工具就无法查到
域名注册信息保护服务是一种域名增值服务，即通过一定的技术手段，适当隐藏域名注册联系人、域名管理联系人、域名技术联系人、域名缴费联系人信息(即，使用户提交的有关注册信息不在域名whois数据库中公开显示)。当受到保护时，别人在查询该域名时，无法显示域名的相关信息，以便起到信息保护作用。
域名注册信息保护服务，可以适用于不愿意公开个人隐私信息，或深受垃圾邮件困扰的个人及公司域名持有者。(其实域名注册数不胜数，实际上使用域名隐私保护却并不多)
域名保护是什么？怎么做域名保护
域名保护是指注册品牌域名以及与品牌相关的域名，防止被他人抢注，或被他人仿冒，做一些仿冒网站，以防品牌声誉以及流量的损失。想国内做了域名品牌保护的就有阿里、 诺思罗普、施乐、惠普、IBM、苹果等公司就有做域名品牌保护，且早已成为域名保护的典范，推动了品牌与域名的统一。一般做域名保护可以从以下几点做起：
1.首先，主流的通用域名.com/.net等肯定要保护的，如果被人抢注了建议企业回购回来，对企业长远发展有利。
2.其次是国别域名，这个根据品牌的海外布局来，如果主要市场是亚洲，那韩国，日本，印度等主流国家主流后缀都要保护的。
3.品牌的近似域名，如果您的品牌依赖线上销售，可能有人注册近似仿冒您的官网比如xiaomi和xiaoml。
4.产品域名，如果您有特别出名的产品，那产品域名也要保护，比如华为的荣耀手机，honor就保护了
