php防止sql注入以及xss跨站脚本攻击
1、XSS攻击不像其他攻击，这种攻击在客户端进行，最基本的XSS工具就是防止一段javascript脚本在用户待提交的表单页面，将用户提交的数据和cookie偷取过来。
2、防护 归纳一下，主要有以下几点：永远不要信任用户的输入。对用户的输入进行校验，可以通过正则表达式，或限制长度；对单引号和 双-进行转换等。
3、php.ini --- display_errors 选项，应该设为 display_errors = off。这样 php 脚本出错之后，不会在 web 页面输出错误，以免让攻击者分析出有作的信息。
4、最有效的 *** 是使用参数化查询就能避免sql注入了，防止跨站的话可以使用微软白名单。或者关键字黑名单。
5、防范SQL注入 - 使用mysql_real_escape_string()函数 在数据库操作的代码中用这个函数mysql_real_escape_string()可以将代码中特殊字符过滤掉，如引号等。
6、不可信数据 不可信数据通常是来自HTTP请求的数据，以URL参数、表单字段、标头或者Cookie的形式。不过从安全角度来看，来自数据库、 *** 服务器和其他来源的数据往往也是不可信的，也就是说，这些数据可能没有完全通过验证。
【快学springboot】15、SpringBoot过滤XSS脚本攻击
1、代码如下：这里是通过修改SpringMVC的json序列化来达到过滤xss的目的的。
2、下面我们把上面的例子当作第三方过滤器，把TimeFilter类上面的@Component注解去掉。做一个模拟练习。注意一定要去掉TimeFilter类上面的@Component注解，否则过滤器会失效。
3、Spring支持Java配置和XML配置，他们为应用程序开启了特定的特性和功能，SpringBoot实现了自动配置，可以减少配置负担。
4、在SpringBoot启动器上添加注解，开启基于注解的RabbitMQ模式。docker中安装运行Elasticsearch服务，限制内存大小256MB（默认为2G）。
如何防范XSS跨站脚本攻击测试篇
1、一些通常的跨站点脚本预防的更佳实践包括在部署前测试应用代码，并且以快速、简明的方式修补缺陷和漏洞。Web应用开发人员应该过滤用户的输入来移除可能的恶意字符和浏览器脚本，并且植入用户输入过滤代码来移除恶意字符。
2、基于特征的防御。XSS漏洞和著名的SQL注入漏洞一样，都是利用了Web页面的编写不完善，所以每一个漏洞所利用和针对的弱点都不尽相同，这就是给XSS漏洞防御带来的困难，不可能以单一特征来概括所有XSS攻击。
3、来自应用安全国际组织OWASP的建议，对XSS更佳的防护应该结合以下两种 *** ：验证所有输入数据，有效检测攻击；对所有输出数据进行适当的编码，以防止任何已成功注入的脚本在浏览器端运行。
4、基于特征的防御 传统XSS防御多采用特征匹配方式，在所有提交的信息中都进行匹配检查。
5、在将不可信数据插入到Style属性里时，对这些数据进行CSS编码。在将不可信数据插入到HTML URL里时，对这些数据进行URL编码。
XSS跨站脚本攻击剖析与防御的作品目录
1、第8章 防御XSS攻击，介绍了一些防范XSS攻击的 *** ，例如，运用XSS Filter进行输入过滤和输出编码，使用Firefox浏览器的Noscript插件抵御XSS攻击，使用HTTP-only的Cookies同样能起到保护敏感数据的作用。
2、XSS攻击的定义 跨站脚本英文名称是（Cross Site Script），为了与层叠样式表（Cascading Style Sheets）区分，故命名为XSS。
3、不可信数据 不可信数据通常是来自HTTP请求的数据，以URL参数、表单字段、标头或者Cookie的形式。不过从安全角度来看，来自数据库、 *** 服务器和其他来源的数据往往也是不可信的，也就是说，这些数据可能没有完全通过验证。
4、客户端跨站脚本攻击的分层防御策略是基于独立分配线程和分层防御策略的安全模型。它建立在客户端，这是它与其他模型更大的区别。之所以客户端安全性如此重要，客户端在接受服务器信息，选择性的执行相关内容。
【web安全】xss跨站脚本攻击有哪些?
持久型跨站：最直接的危害类型，跨站代码存储在服务器（数据库）。非持久型跨站：反射型跨站脚本漏洞，最普遍的类型。用户访问服务器-跨站链接-返回跨站代码。
(1)持久型跨站：最直接的危害类型，跨站代码存储在服务器(数据库)。(2)非持久型跨站：反射型跨站脚本漏洞，最普遍的类型。用户访问服务器-跨站链接-返回跨站代码。
常见的 XSS 攻击有三种：反射型XSS攻击、DOM-based 型XXS攻击以及存储型XSS攻击。