本文目录一览：
在学习XSS前应该学习什么？
XSS是我们比较熟悉的一种攻击方式，包括存储型XSS、反射型XSS、DOM XSS等，但UXSS(通用型XSS)另外一种不同的漏洞类型，主要体现在漏洞的载体和影响范围上。
XSS问题源于某一个WEB站点或应用存在安全问题，但受同源策略的约束，攻击者只能访问存在漏洞的站点的回话信息，无法访问其他域的回话信息。
UXSS则主要源于浏览器或浏览器扩展程序的安全缺陷，不需要网站本身存在漏洞也可以触发漏洞，攻击者可以获取到浏览器打开和缓存的所有页面（不同域）的会话信息，因此UXSS漏洞的杀伤力极强。
由于Google把WebKit移植到了Android上，并将其作为WebView组件封装在SDK中，但一些之前出现在PC版chrome的WebKit漏洞在SDK中并未修复，因此历史的悲剧在android上再一次上演:
如何正确防御xss攻击
传统防御技术
2.1.1基于特征的防御
传统XSS防御多采用特征匹配方式，在所有提交的信息中都进行匹配检查。对于这种类型的XSS攻击，采用的模式匹配 *** 一般会需要对“javascript”这个关键字进行检索，一旦发现提交信息中包含“javascript”，就认定为XSS攻击。
2.1.2 基于代码修改的防御
和SQL注入防御一样，XSS攻击也是利用了Web页面的编写疏忽，所以还有一种 *** 就是从Web应用开发的角度来避免：
1、对所有用户提交内容进行可靠的输入验证，包括对URL、查询关键字、HTTP头、POST数据等，仅接受指定长度范围内、采用适当格式、采用所预期的字符的内容提交，对其他的一律过滤。
2、实现Session标记(session tokens)、CAPTCHA系统或者HTTP引用头检查，以防功能被第三方网站所执行。
3、确认接收的的内容被妥善的规范化，仅包含最小的、安全的Tag(没有javascript)，去掉任何对远程内容的引用(尤其是样式表和javascript)，使用HTTP only的cookie。
当然，如上 *** 将会降低Web业务系统的可用性，用户仅能输入少量的制定字符，人与系统间的交互被降到极致，仅适用于信息发布型站点。
并且考虑到很少有Web编码人员受过正规的安全培训，很难做到完全避免页面中的XSS漏洞。
扩展资料：
XSS攻击的危害包括
1、盗取各类用户帐号，如机器登录帐号、用户网银帐号、各类管理员帐号
2、控制企业数据，包括读取、篡改、添加、删除企业敏感数据的能力
3、盗窃企业重要的具有商业价值的资料
4、非法转账
5、强制发送电子邮件
6、网站挂马
7、控制受害者机器向其它网站发起攻击
受攻击事件
新浪微博XSS受攻击事件
2011年6月28日晚，新浪微博出现了一次比较大的XSS攻击事件。
大量用户自动发送诸如：
“郭美美事件的一些未注意到的细节”，“建党大业中穿帮地方”，“让女人心动的100句诗歌”，“这是传说中的神仙眷侣啊”等等微博和私信，并自动关注一位名为hellosamy的用户。
事件的经过线索如下：
20:14，开始有大量带V的认证用户中招转发蠕虫
20:30，某网站中的病毒页面无法访问
20:32，新浪微博中hellosamy用户无法访问
21:02，新浪漏洞修补完毕
百度贴吧xss攻击事件
2014年3月9晚，六安吧等几十个贴吧出现点击推广贴会自动转发等。并且吧友所关注的每个关注的贴吧都会转一遍，病毒循环发帖。并且导致吧务人员，和吧友被封禁。
参考资料：
XSS攻击-百度百科
跨域产生的原因和解决 ***
同源策略。
同源策略是一种约定，由Netscape公司1995年引入浏览器，它是浏览器最核心也最基本的安全功能，如果缺少了同源策略，浏览器很容易受到XSS、CSFR等攻击。所谓同源是指"协议+域名+端口"三者相同，即便两个不同的域名指向同一个ip地址，也非同源。同源策略限制以下几种行为：Cookie，LocalStorage和IndexDB无法读取DOM和 *** 对象无法获得AJAX请求不能发送
解决方案： *** ONP跨域。原理：就是利用标签没有跨域限制，通过标签src属性，发送带有callback参数的GET请求，服务端将接口返回数据拼凑到callback函数中，返回给浏览器，浏览器解析执行，从而前端拿到callback函数返回的数据。缺点：只能发送get一种请求。
CORS过程的介绍以及跨域问题
参考文章：
说到跨域问题，我们最常见的就是在我们向服务器发起请求的时候会遇到。比如说如下情况
假设我们正在访问 的站点，当我们点击按钮，向 发送请求，获取网站上的一些用户信息。这个时候从结果上是完美的。原因是，根据 同源策略 ，我们发起请求的 域名 ， 端口 ， 协议 均是一至的。浏览器并不会产生跨域报错。
而如果，以上提到的三点其中一点不满足的站点，再向服务器发起请求，那么这个时候就会触发跨域报错。如下图
而以上两种情况出现的原因，其实就是我们今天要介绍的内容。
首先我们先来介绍一下同源策略
浏览器 *** 请求的时候，有一个 同源策略 的机制，即默认情况下，使用API的Web应用程序只能从加载应用程序的同一个域请求HTTP资源。也就是我们上面提到的，必须要求域名，端口，协议都要一至。请求才能发送成功。而只要其中一点不一致，那么该请求也算是跨域的。
所以我们同样可以看得出来。同源策略会限制以下三种行为:
说了这么多其实，我们可以看出同源策略的作用其实就是为了保证用户的信息安全。打个比方，如果没有同源策略，那么当你在不小心的情况下，点击了网页的钓鱼网站。然后恶意的网站很容易就能利用重定向把你带到一个iframe 的 攻击网站，这个iframe会自动加载银行网站，并通过Cookie登录你的账号。然后操作你的DOM，进行一系列的危险操作。
而我们当然不希望这种情况发生，这个时候同源策略就起到有效的保护作用。因为它确保了我们只能访问同一站点的资源
好了，接下来要说的就是CORS了。
浏览器出于安全的考虑，会限制 从脚本内发起 的跨域HTTP请求。（注意是脚本内）例如XHR 和 Fetch 就遵循同源策略。这意味着使用 API 的Web应用程序只能从加载应用程序的同一个域请求HTTP资源。
在日常的开发中，我们很多时候都会跨域去请求别的站点的资源。而这个时候我们为了解决跨域的问题就要利用CORS机制。
CORS(Cross-Origin Resource Sharing)，即 跨域资源共享 。如字面意思，CORS机制的存在就是为了让我们在保证安全的前提下，实现访问不同域下的资源，这算是放宽的政策。
浏览器可以利用CORS机制，放行一些符合规范的跨域访问，阻止不符合规范的跨域访问。下面我我们就来介绍一下浏览器内部是如何实现的。
Web程序发出跨域请求后，浏览器会 自动 向我们的HTTP header添加一个额外的字段 Origin 。 Origin 标记了请求的站点来源:
为了使浏览器允许访问跨域资源，服务器返回的 response 还需要加一些响应头字段，这些字段可以 显式 的表明此服务器是否允许跨域请求。
作为服务端人员，我们为了允许符合规则的跨域请求。我们可以通过在HTTP的响应中添加响应字段 Access-Control-* 来表明是否允许跨域请求。根据这些CORS响应头字段，浏览器可以允许一些被同源策略限制的跨域响应
虽然有好几个CORS的字段，但是有一个必须要加的字段是 Acess-Control-Allow 。这个头字段的值指定了哪些站点被允许跨域访问资源的。
现在这个字段会被添加到服务端的响应报文中，然后返回给客户端。然后这个时候客户端再向服务端发起跨域请求，同源策略将不会再限制 站点返回的资源。
报文如下：
而相反，如果对比 Access-Control-Allow-Origin 和 Origin 的值不一致的时候，浏览器会抛出一个 CORS Error的报错信息。
除了 Access-Control-Allow-Origin 字段头之外，开发人员还可以通过其他字段对请求作出限制。比如说 Access-Control-Allow-Methods 该字段用来指明跨域请求所允许的 HTTP *** 。
如上图中，只有请求 *** 为 GET ， POST 或 PUT *** 被允许跨域访问资源。其他的HTTP *** ，例如 PATCH 和 DELETE 都会产生预检。
这里就引申出一些别的内容，比如说 预检
什么是预检呢？
到这里，CORS和跨域的关系基本就说清楚了。下面我们再说一点补充
XHR 或 Fetch 与 CORS的一个有趣的特性是，我们可以基于 Cookies 和 HTTP 认证信息发送身份凭证。一般而言，对于跨域 XHR 或 Fetch 请求，浏览器 不会 发送身份凭证信息。
尽管 CORS 默认 情况下不发送身份凭证，但我们仍然可以通过添加 Access-Control-Allow-Credentials CORS响应头来更改它
如果要在跨域请求中包含 cookie 和其他授权信息，我们需要做一下操作:
做到了上面几点之后，就能在跨域请求中携带身份凭证了。
以上就是全部内容了
补充参考：
浏览器同源策略
所谓同源是指"协议+域名+端口"三者相同，即便两个不同的域名指向同一个 ip 地址，也非同源。同源策略/SOP（Same origin policy）是一种约定，由 Netscape 公司 1995 年引入浏览器，它是浏览器最核心也最基本的安全功能，现在所有支持 JavaScript 的浏览器都会使用这个策略。如果缺少了同源策略，浏览器很容易受到 XSS、 CSFR 等攻击。
（1）、比如一个web应用，用户访问的页面，处理页面的请求的controller都是在同一个contextPath下的，无论在页面上请求AController还是BController，页面、A、B都是同源的，所处的空间位于同一个contextPath下。
(2)、 同源策略是为了安全，确保一个应用中的资源只能被本应用的资源访问。否则，岂不是谁都能访问。