本文目录一览：
- 1、mac怎么串流xss
- 2、存储型XSS与反射型XSS有什么区别
- 3、cookie默认有效期多长_惊艳面试官的 Cookie 介绍
- 4、ASP.NET中如何修复XSS漏洞？
- 5、45. 从零开始学springboot撸一个Xss过滤器-注解实现
- 6、Web应用常见的安全漏洞有哪些？
mac怎么串流xss
下载并安装 OneCast 的过程与普通 macOS 软件无异，首次运行时会先告诉你一些使用须知，其中几条内容比较重要：
Mac 需要和 Xbox One 在同一个 *** 环境下
确认已在 Xbox One 的「设置 — 喜好设定 — Xbox 应用程序连线」中允许连线以及串流游戏至其他装置
无线用户建议使用 5GHz Wi-Fi 进行串流，但使用 LAN 有线连接能保证最稳定的串流效果。
与 PC 一样，支持连接到 Mac 的 Xbox 360/Xbox One 控制器（存在着一些小问题，下文中会提到）
接下来，OneCast 会要求你注册 Xbox One，使用与 Xbox One 相同的微软账号进行登录。
这一步虽然需要输入账号密码，但跳转到的是微软官方的登录页面，担心账号安全的玩家大可放心。顺利登录之后，OneCast 会提示你注册成功，然后就可以在软件中看到自己的 Xbox One 了！
效果出色的串流体验
设置完成后，直接点击 Connect，就可以开始使用 OneCast 串流了。
成功连接后，OneCast 默认会以全屏幕显示 Xbox One 的串流画面（可以在设置中关闭），而 Xbox One 上也会弹出正在串流的提示。
OneCast 提供了 4 档不同的画质选项，这点与 Windows 10 上的官方应用一样。唯一的区别是，OneCast 暂时还不能在串流时切换画质。
存储型XSS与反射型XSS有什么区别
XSS就是XSS。所谓“存储型”、“反射型”都是从黑客利用的角度区分的。对于程序员来说意义不大，反而是误导。只有“DOM-based”型略有不同。
XSS、SQL
injection之类的漏洞，原理都是破坏跨层协议的数据/指令的构造。
cookie默认有效期多长_惊艳面试官的 Cookie 介绍
Cookie 是什么
Cookie 是用户浏览器保存在本地的一小块数据，它会在浏览器下次向 同一服务器 再发起请求时被携带并发送到服务器上。
Cookie 主要用于以下三个方面：
会话状态管理(如用户登录状态、购物车、游戏分数或其它需要记录的信息)
个性化设置(如用户自定义设置、主题等)
浏览器行为跟踪(如跟踪分析用户行为等)
✔ Domain
Domain 标识指定了哪些主机可以接受 Cookie。如果不指定，默认为当前文档的主机(不包含子域名)。 如果指定了 Domain，则一般包含子域名(子域名可以访问父域名的 Cookie) 。
例如，如果设置 Domain=mozilla.org，则 Cookie 也包含在子域名中(如 developer.mozilla.org)。
✔ Path
Path 标识指定了主机下的哪些路径可以接受 Cookie(该 URL 路径必须存在于请求 URL 中)。以字符 %x2F (/) 作为路径分隔符，子路径也会被匹配。
设置 Path=/docs，则以下地址都会匹配：
/docs
/docs/Web/
/docs/Web/HTTP
✔ Expires/Max-Age
Cookie 的过期时间，过了这个时间之后 Cookie 将会自动删除。
Set-Cookie:id=a3fWa; Expires=Wed,21Oct201507:28:00GMT;
Max-Age 的单位是秒。
document.cookie='promo_shown=1; Max-Age=2600000; Secure'
✔ HttpOnly
为避免跨域脚本 (XSS) 攻击，通过 JavaScript 的 Document.cookie API 无法访问带有 HttpOnly 标记的 Cookie，它们只应该发送给服务端。如果包含服务端 Session 信息的 Cookie 不想被客户端 JavaScript 脚本调用，那么就应该为其设置 HttpOnly 标记。
Set-Cookie:id=a3fWa; Expires=Wed,21Oct201507:28:00GMT; Secure; HttpOnly
✔ Secure
标记为 Secure 的 Cookie 只应通过 被 HTTPS 协议加密 过的请求发送给服务端。
SameSite
…
…
SameSite Cookie 允许服务器要求某个 Cookie 在跨站请求时不会被发送，从而可以阻止跨站请求伪造攻击(CSRF)。
Set-Cookie:key=value; SameSite=Strict
None 浏览器会在同站请求、跨站请求下继续发送 Cookies，不区分大小写；
Strict 浏览器将只发送相同站点请求的 Cookie(即当前网页 URL 与请求目标 URL 完全一致)。如果请求来自与当前 location 的 URL 不同的 URL，则不包括标记为 Strict 属性的 Cookie；
Lax 在新版本浏览器中，为 默认 选项，Same-site Cookies 将会为一些跨站子请求保留，如 图片加载 或者 iframe 不会发送，而点击 标签会发送；
✔ 增删改查
…
设置 Cookie 和修改 Cookie 相同：
functionsetCookie(cname, cvalue, exdays) {constd =newDate() d.setTime(d.getTime() + exdays *24*60*60*1000)constexpires ='expires='+ d.toUTCString()return(document.cookie= cname +'='+ cvalue +';'+ expires +';path=/')}
删除 Cookie：
functiondeleteCookie(cname) {constd =newDate()constexpires ='expires='+ d.toUTCString()return(document.cookie= cname +'='+';'+ expires +';path=/')}
查询 Cookie：
functiongetCookie(cname) {constcookieObj =document.cookie.split(';').reduce((prev, curr) ={constentry = curr.split('=') prev[entry[0].trim()] = entry[1]returnprev }, {})if(cname)returncookieObj[cname]returncookieObj}
✔ 不同二级域名共享 Cookie
Cookie 可以设置成给子域名共享，类似于在 x.com.cn 设置的 Cookie 可以提供给 a.x.com.cn、b.x.com.cn、suba.a.x.com.cn 等域名访问。
比如下面的方式：
res.writeHead(200, {'Set-Cookie': ['name=sub-x-com-cn; path=/;domain=x.com.cn','name=only-x-com-cn; path=/'],})
domain=x.com.cn 表示 domain=x.com.cn 及其子域名都可以使用， 不写 doamin 默认只有当前域名可用，设置的 Cookie 是这样的：
总结
设置 Cookie 时，在 x.com.cn 设置为 ...;domain=x.com.cn 的 Cookie 可以给 x.com.cn 及其子域名使用；
设置 Cookie 时，在 x.com.cn 设置没有 domain 的 Cookie 只能给 x.com.cn 使用；
父域名无法在子域名设置 Cookie ，例如在 x.com.cn 设置了 name=lxfriday;domain=subx.x.com.cn，这种设置是无效的；
✔ Cookie 常见问题
Cookie 不区分端口；
一个 Cookie 存储上限是 4K 大小；
Cookie 只能存储 ASCII 字符串；
✔ Cookie 安全-会话劫持和 XSS
newImage().src=''+document.cookie
HttpOnly 类型的 Cookie 由于阻止了 JavaScript 对其的访问性而能在一定程度上缓解此类攻击。
✔ Cookie 安全-跨站请求伪造(CSRF)
当你打开含有了这张图片的 HTML 页面时，如果你之前已经登录了你的银行帐号并且 Cookie 仍然有效(还没有其它验证步骤)，你银行里的钱很可能会被自动转走。
这种情况只是一种假设，实际上应该不允许使用 GET 修改数据，对转账的操作需要添加二次确认。
✔ Session
Session 机制是一种服务器端的机制，服务器使用一种类似于散列表的结构(也可能就是使用散列表)来保存信息。
当程序需要为某个客户端的请求创建一个 Session 时，服务器首先检查这个客户端的请求里是否已包含了一个 Session 标识(称为 Session ID)，如果已包含则说明以前已经为此客户端创建过 Session，服务器就按照 Session ID 把这个 Session 检索出来使用(检索不到，会新建一个)，如果客户端请求不包含 Session ID，则为此客户端创建一个 Session 并且生成一个与此 Session 相关联的 Session ID，Session ID 的值应该是一个 既不会重复，又不容易被找到规律以仿造的字符串 ，这个 Session ID 将被在本次响应中返回给客户端保存。
Session 从客户端传输到服务端的方式有两种：
通过 Cookie 传输；
通过 URL 传输；
表单隐藏字段，通过在 中添加一个隐藏字段，把 Session 传回服务器；
基于 Cookie 实现，会话期 Cookie 是最简单的 Cookie： 浏览器关闭之后它会被自动删除，也就是说它仅在会话期内有效 。会话期 Cookie 不需要指定过期时间(Expires)或者有效期(Max-Age)。
Set-Cookie: name=lxfriday.xyz; path=/;HttpOnly
✔ Cookie 与 Session 有什么不同
mp.weixin.qq.com/s?__biz=MzA…
保存的地方不同 ，Cookie 保存在客户端，Session 保存在服务端；
有效期不同 ，Cookie 可以存储很长时间，Session 只能存在于一次会话中，浏览器关闭之后 Session 就失效了；
安全性不同 ，Cookie 存储在客户端容易被盗取或者利用，Session 在服务端比较安全；
存储大小不同 ，单个 Cookie 能存储 4K 的数据，Session 存储量比 Cookie 高得多；
存取方式不同 ，Cookie 中只能保存 ASCII 字符串 ，假如需求存取 Unicode 字符或者二进制数据，需求先进行编码。Session 中能够存取 任何类型 的数据；
服务器压力不同 ，Session 是存储在服务端的，巨大并发的时候会使服务器资源急速飙升。Cookie 则不存在此问题；
链接：
ASP.NET中如何修复XSS漏洞？
SOSO用户 系统漏洞一旦被发现，就会公布在网上，到时候很多人都拿着工具扫电脑，遇到有漏洞的电脑，就可以相对轻松的让你中毒,或者直接拿你的权限了~~ 所以一定要修复漏洞,个人觉得免费的金山毒霸系统修复效果比较不错,可以参考.卡巴的也不错,但是收费的金山毒霸免费套装
45. 从零开始学springboot撸一个Xss过滤器-注解实现
上章通过Filter实现了Xss全局过滤器
可能小伙伴还有点不满, 全局意味着“一刀切”,
虽然我们也有白名单黑名单设置, 但是, 白名单黑名单针对的是整个 *** 或整个实体类
举个例子, 我定义了个实体
可能业务上有限制(比如name限制了只有5个字符长),
那么name其实不可能存在Xss注入风险了,
程序只需要对info和des属性做转义即可
如果采用Filter, 意味着People的所有属性都会检测转义, 好像没啥必要!
那么, 可以针对性的指定字段进行Xss的过滤转义么?
为了应对这样的需求, 咸鱼君采用Aop注解来实现这么个Xss过滤器.
PS: 和Filter一样, 我们统一对入参Xss过滤, 确保参数的处理方式统一! 所以, 程序中获取的参数值都是转义后的数据!!
废话不多说, 往下看!
加入必要的pom依赖
针对 *** , 参数, 属性分别定义三个注解
XssMethod
XssParam
XssField
针对注解实现切面Aspect
XssAspect
注释写的很详细, 就不多废话了!
接下来我们写个案例来测试测试
首先在启动类上启用切面
定义一个实体People, 并对info,des属性加上注解进行xss过滤
最后编写controller
json方式
键值对方式
Web应用常见的安全漏洞有哪些？
Web应用常见的安全漏洞：
1、SQL注入
注入是一个安全漏洞，允许攻击者通过操纵用户提供的数据来更改后端SQL语句。 当用户输入作为命令或查询的一部分被发送到解释器并且欺骗解释器执行非预期的命令并且允许访问未授权的数据时，发生注入。
2、跨站脚本攻击 （XSS）
XSS漏洞针对嵌入在客户端（即用户浏览器而不是服务器端）的页面中嵌入的脚本。当应用程序获取不受信任的数据并将其发送到Web浏览器而未经适当验证时，可能会出现这些缺陷。
3、跨站点请求伪造
CSRF攻击是指恶意网站，电子邮件或程序导致用户的浏览器在用户当前已对其进行身份验证的受信任站点上执行不需要的操作时发生的攻击。
4、无法限制URL访问
Web应用程序在呈现受保护的链接和按钮之前检查URL访问权限 每次访问这些页面时，应用程序都需要执行类似的访问控制检查。 通过智能猜测，攻击者可以访问权限页面。攻击者可以访问敏感页面，调用函数和查看机密信息。
5、不安全的加密存储
不安全的加密存储是一种常见的漏洞，在敏感数据未安全存储时存在。 用户凭据，配置文件信息，健康详细信息，信用卡信息等属于网站上的敏感数据信息。
扩展资料
web应用漏洞发生的市场背景：
由于Web服务器提供了几种不同的方式将请求转发给应用服务器，并将修改过的或新的网页发回给最终用户，这使得非法闯入 *** 变得更加容易。
许多程序员不知道如何开发安全的应用程序。他们的经验也许是开发独立应用程序或Intranet Web应用程序，这些应用程序没有考虑到在安全缺陷被利用时可能会出现灾难性后果。
许多Web应用程序容易受到通过服务器、应用程序和内部已开发的代码进行的攻击。这些攻击行动直接通过了周边防火墙安全措施，因为端口80或443（SSL，安 *** 接字协议层）必须开放，以便让应用程序正常运行。
参考资料来源：百度百科-WEB安全漏洞
参考资料来源：百度百科-Web安全
