如何正确防御xss攻击?
1、基于特征的防御。XSS漏洞和著名的SQL注入漏洞一样，都是利用了Web页面的编写不完善，所以每一个漏洞所利用和针对的弱点都不尽相同，这就是给XSS漏洞防御带来的困难，不可能以单一特征来概括所有XSS攻击。
传统的XSS防御在进行攻击鉴别时多采用特征匹配方式，主要是针对JavaScript这个关键词进行检索，但是这种鉴别不够灵活，凡是提交的信息中各有JavaScript时，就被硬性的判定为XSS攻击。
2、基于代码修改的防御。Web页面开发者在编写程序时往往会出现一些失误或漏洞，XSS攻击正是利用了失误和漏洞，因此一种比较理想的 *** 就是通过优化Web应用开发来减少漏洞，避免被攻击：
①用户向服务器上提交的信息要对URL和附带的HTTP头、POST数据等进行查询，对不是规定格式、长度的内容进行过滤。
②实现Session标记、CAPTCHA系统或者HTTP引用头检查，以防功能被第三方网站所执行。
③确认接收的内容被妥善的规范化，仅包含最小的、安全的Tag，去掉任何对远程内容的引用，使用HTTP only的cookie。
3、客户端分层防御策略。客户端跨站脚本攻击的分层防御策略是基于独立分配线程和分层防御策略的安全模型。它建立在客户端，这是它与其他模型更大的区别。之所以客户端安全性如此重要，客户端在接受服务器信息，选择性的执行相关内容。这样就可以使防御XSS攻击变得容易，该模型主要由三大部分组成：
①对每一个网页分配独立线程且分析资源消耗的网页线程分析模块;
②包含分层防御策略四个规则的用户输入分析模块;
③保存互联网上有关XSS恶意网站信息的XSS信息数据库。
学习 *** 安全需要哪些基础知识？
1学习编程语言(php+mysql+js+html)
原因：php+mysql可以帮助你快速的理解B/S架构是怎样运行的，只有理解了他的运行原理才能够真正的找到问题/漏洞所在。所以对于国内那些上来就说渗透得培训我是很鄙视的js+html可以帮助你理解到XSS的payload构造，以及Dom型的XSS挖掘。注意我这是没有说不会 *** 就找不到XSS漏洞，只不过是不能构造payload以及DOM型的XSS挖掘的2. 学习运维原因：关于内网渗透的时候会有大用！比如说那些配置文件在哪里，DNS怎么查看之类的，这里的运维不是说什么去学Linux怎么用，而是让你去学习各个服务是怎么配置出来的，记住他们的配置文件所在3. 入门渗透学习路径：1.SQL注入2. XSS漏洞3. CSRF漏洞4. 文件上传5. 解析漏洞6. 代码执行7. 命令执行8. 文件包含9. SSRF漏洞以上漏洞的原理都在白帽子讲web安全一书中有说道。注意！必须学习完之一步才可以继续学习第三步，不然你会发现买来也没什么卵用 看不懂4. 深入漏洞这个东西是讲不出来的，只可意会不可言传最后给你一句忠告：渗透测试的本质是信息收集，深度是漏洞开发当然在你入门后可以加 *** 群一起讨论交流：752228676
*** 安全都有哪些就业方向？
一、渗透测试工程师
基本要求：对web安全整体需要有着深刻的理解和认识，具备web渗透相关的技能，熟悉渗透测试整体流程，熟悉掌握各类安全测试的工具。
岗位职责：主要负责承接渗透测试相关的项目，跟踪国际、国内安全社区的安全动态，进行安全漏洞分析、研究以及挖掘，并且进行预警。
二、安全开发工程师：
基本要求：掌握ruby、nodejs、Python、Java其中一种语言，熟悉主流的渗透攻击的原理、利用方式，能够以手工和结合工具的方式对目标系统进行渗透测试。
基本职责：负责对安全产品的开发与维护，包含安全应急等工作。
三、安全运维工程师：
基本要求：熟悉Linux操作系统，熟悉编写shell或者Python脚本，熟悉常见web安全漏洞分析与防范，包含SQL注入、XSS、csrf等。
基本职责：负责业务服务器操作系统的安全加固，系统层的应用程序的运行权限检测、评估。
xss漏洞如何防御?
1、基于特征的防御。XSS漏洞和著名的SQL注入漏洞一样，都是利用了Web页面的编写不完善，所以每一个漏洞所利用和针对的弱点都不尽相同，这就是给XSS漏洞防御带来的困难，不可能以单一特征来概括所有XSS攻击。
传统的XSS防御在进行攻击鉴别时多采用特征匹配方式，主要是针对JavaScript这个关键词进行检索，但是这种鉴别不够灵活，凡是提交的信息中各有JavaScript时，就被硬性的判定为XSS攻击。
2、基于代码修改的防御。Web页面开发者在编写程序时往往会出现一些失误或漏洞，XSS攻击正是利用了失误和漏洞，因此一种比较理想的 *** 就是通过优化Web应用开发来减少漏洞，避免被攻击：
①用户向服务器上提交的信息要对URL和附带的HTTP头、POST数据等进行查询，对不是规定格式、长度的内容进行过滤。
②实现Session标记、CAPTCHA系统或者HTTP引用头检查，以防功能被第三方网站所执行。
③确认接收的内容被妥善的规范化，仅包含最小的、安全的Tag，去掉任何对远程内容的引用，使用HTTP only的cookie。
3、客户端分层防御策略。客户端跨站脚本攻击的分层防御策略是基于独立分配线程和分层防御策略的安全模型。它建立在客户端，这是它与其他模型更大的区别。之所以客户端安全性如此重要，客户端在接受服务器信息，选择性的执行相关内容。这样就可以使防御XSS攻击变得容易，该模型主要由三大部分组成：
①对每一个网页分配独立线程且分析资源消耗的网页线程分析模块;
②包含分层防御策略四个规则的用户输入分析模块;
③保存互联网上有关XSS恶意网站信息的XSS信息数据库。
程序员需要具备哪些东西？
程序员必须要了解的web安全
1.简述
互联网本来是安全的，自从有了研究安全的人之后，互联网就变得不安全了。
1.1什么是安全？
字典的解释是指没有受到威胁、没有危险、危害、损失。
1.2什么情况下会产生安全问题？
类似我们在机场，火车站里面，乘客开始上车之前，都会有一个必要的程序：安全检查。如果没有安全检查我们就会产生我们所谓的安全问题。在安全检查中我们会检查乘客身上是否携带了打火机，可燃液体等危险物品。
从上面我们看出为什么我们会有安全检查呢？归根结底还是信任问题。因为我们的信任关系被破坏，从而产生了安全问题。
1.3怎么进行有效的安全评估？
一个安全评估过程，可以简单地划分为4个阶段：资产等级划分，威胁分析，风险分析，确认解决方案。
资产等级划分：明确我们目标是什么，要保护什么。互联网安全的核心问题，其实是数据安全问题。用户的数据也就是我们需要保护的。
威胁分析：找到所有可能造成危害的来源，一般采用头脑风暴列举所有的情况。
风险分析：预估造成的损失大小。
确认解决安全方案：安全评估的产出物，就是确认安全解决方案。解决方案一定要有针对性，这种针对性是由资产等级划分，威胁分析，风险分析，确认解决方案。
2.浏览器安全
近年来随着互联网的发展，人们发现浏览器才是互联网更大的入口，绝大多数用户使用互联网的工具是浏览器。因此浏览器市场的竞争也日趋白热化。浏览器安全在这种激烈竞争的环境中被越来越多的人所重视。
2.1同源策略
浏览器的安全都是以同源为基础，它是浏览器最核心也最基本的安全功能，如果缺少了同源策略，则浏览器的正常功能可能都会受到影响。
浏览器的同源策略，限制了来自不同源的“document”或脚本，对当前"document"读取或设置某些属性。
这一策略很重要，试想一下如果没有同源策略，可能 *** 的一段 *** 脚本，在b.com未曾加载此脚本时，也可以随意涂改b.com的页面。为了不让浏览器的页面行为发生混乱，浏览器提出了“Origin”这一概念，来自不同Origin的对象无法互相干扰。
影响“源”的因素有：host,子域名，端口，协议。
2.2恶意网址拦截
恶意网址拦截的工作原理很简单，一般都是浏览器周期性地从服务器端获取一份最新的恶意网址黑名单，如果用户上网时访问的网址存在于此黑名单中，浏览器就会弹出一个警告页面。
3.跨站脚本攻击
跨站脚本攻击(XSS)是客户端脚本安全中的头号大敌。
XSS：跨站脚本攻击，英文名称是Cross Site Script，本来缩写是CSS，为了和层叠样式的CSS有所区别，所以在安全领域叫“XSS”。
3.1XSS攻击
XSS攻击，通常指黑客通过“HTML注入”篡改可网页，插入了恶意的脚本，从而在用户浏览网页时，控制用户浏览器的一种攻击。举个例子：某个黑客发表了一篇文章其中包含了恶意的 *** 代码，所有访问这篇文章的人都会执行这段 *** 代码，这样就完成XSS攻击。
3.2反射型XSS
反射型XSS只是简单地把用户输入的数据反射给浏览器。也就是说，黑客往往需要引诱用户点击一个而已连接，才能攻击成功
3.3存储型XSS
存储型会把用户输入的数据“存储”在服务器端。这种XSS具有很强的稳定性。黑客把恶意的脚本保存到用户的服务器端，所以这种攻击就是存储型，理论上来说，它存在的时间是比较长的。
3.4 XSS的防御
XSS的防御是复杂的。
3.4.1 HttpOnly
HttpOnly最早是由微软提出，并在IE6中实现的，至今已经逐渐成为了一个标准。浏览器将禁止页面的 *** 访问带有HttpOnly属性的Cookie。
其实严格地说，HttpOnly并非为了对抗XSS——HttpOnly解决的是XSS后的Cookie劫持攻击。HttpOnly现在已经基本支持各种浏览器，但是HttpOnly只是有助于缓解XSS攻击，但仍然需要其他能够解决XSS漏洞的方案。
3.4.2 输入检查
在XSS的防御上，输入检查一般是检查用户输入的数据中是否包含一些特殊字符，如,等等。如果发现这些字符，则将字符过滤或者编码。这种输入检查的方式，可以叫“XSS Filter”。互联网上于很多开源的“XSS Filter”的实现。
XSS Filter在用户提交数据时获取变量，并进行XSS检查；但此时用户数据并没有结合渲染页面的HTML代码，因此XSS Filter对语境的理解并不完整。甚至有可能用户输入13，直接会把符号给过滤掉，所以一个好的XSSFilter是比较重要的。
3.4.3输出检查
一般来说，除了富文本的书除外，在变量输出到HTML页面时，可以使用编码火转移的方式来防御XSS攻击。和输入检查差不多。
为什么整个互联网行业都缺前端工程师
现在，几乎整个互联网行业都缺前端工程师，不仅在刚起步的创业公司，上市公司乃至巨头，这个问题也一样存在。没错，优秀的前端工程师简直比大熊猫还稀少。
每天，100offer的HR群都有人在吐槽招不到前端工程师。实话说对这些需求，Betty也无能为力，因为在供不应求的前端 *** 市场上，优秀的前端工程师才是有话语权的那一方。
放眼全球，不仅在国内的互联网行业，在国外，前端工程师一样是需求旺盛、供不应求的香饽饽。
举个例子，根据indeed.com抓取的数千家网站的职位显示：目前前端的热门岗位——「HTML5」是需求增长最快的开发岗位，在所有开发职位中排名之一，MongoDB和iOS紧随其后位列第二、第三。
jobgraph
可见，HTML5可以说是最热门的前端岗位了，在2010年和2014年底有两次爆发性增长，现在在美国的岗位需求甚至超过了iOS。
所以市场上优秀的前端工程师相对较缺少，是一个世界性难题。
原因一：前端相对来说是一个新领域，当今的web需求要求更多的工程师供应
可能很多人认为前端开发和web开发类似，而web开发已经有20多年的历史，所以前端并不是一个新领域。然而，前端工程师的概念中的「接口技术实现和用户体验作为一个专业的工作领域」，却无疑是很新的。大概几年前，前端开发的技术增长迅猛，如下图所示：
过去几年前端工程师的可视化增长趋势 by Google Trends
15年或更久以前，web的可视化设计和技术实现所需要的资源是平均分配的。随着网站的发展——网站不仅是一个登录页面，工程资源的需求越来越明显。人们开始专门学习网站专用的 *** 、后端技术、UX、数据库，甚至系统设计。
今天，一个像AirBnB/Facebook/Quora的Web应用程序，投入的工程资源比设计资源多得多。换句话说，如今，做出网页的视觉设计比技术实现要更快，所以当今的web需求要求更多的工程师供应。
现在，一位合格的前端工程师，必须对视觉设计有兴趣（或者乐于做一个受虐狂▼）。
CSS.jpg
很显然，要处理大量的Web应用程序需求，技术任务就要进行分类，以便于多人同时处理网站请求。事实上现在已经不可能一个人快速地解决所有的技术细节了。
现在还有一类人是独自处理一个Web应用程序的所有问题，即「全栈工程师」，但是优秀的全栈工程师同样如大熊猫一般数量稀少。
现在，一个创业公司想要成功，几乎要覆盖一个Web应用程序的诸多技术方面：前端、后台、DBA、运营等。虽然已经有一些服务可以让企业购买登陆页面的前端模块和组件；但是如果你想要创造一些真正的Web应用程序，除了求助前端工程师，别无他法，就像你要创立一个品牌你也绕不开请一位设计师一样。
原因二：对前端，普遍存在巨大的误解，其实前端一点也不简单
大多人都认为前端开发是一个「相对于其他模块来说更简单的领域」，在他们心中的前端工程师是这样工作的：
1、把Photoshop文件、图片或者线框做成一个页面；
2、偶尔设计Photoshop文件、图片或者线框；
3、用 *** 实现动画、过渡效果；
4、用HTML和CSS编程，实现网页的内容和形式。
事实上，前端工程师在做的是：
1、在设计师和工程师之间创建可视化的语言；
2、根据设计稿定义一组代表内容、品牌和功能的组件；
3、为Web应用程序的框架、需求、可视化的语言和规格设定基准；
4、根据设备、浏览器、屏幕、动画来划分web应用的工作划分；
5、用QA基准来保证指南来确保品牌忠诚度、代码质量、产品标准；
6、调节Web应用程序的样式，包括间距、字体、标题、图标、布局等等；
7、根据不同分辨率、横屏竖屏等，调节Web应用程序的样式；
8、标记 Web 应用程序，使之语义化，SEO 友好；
9、通过API获取内容要考虑友好性、电池消耗性、设备和客户端的特性；
10、开发客户端要考虑动画的流畅、延迟加载、交互、应用工作流程，大多数时间用来考虑渐进增强和向后兼容的标准；
11、保证后台连接安全，采取跨地资源共享（ CORS ）的程序考虑，防止跨站点脚本（ XSS）和跨站点请求伪造（ CSRF ） ；
12、最重要的是，尽管有严格的期限、利益相关者的要求，以及设备的限制，无论现在还是将来永远是「客户之一」。
为了实现上述目标，前端工程师采用了从可视化到编程的多种工具 ，甚至有时要照顾市场、 UX 到内容tweakes等等。
原因三：大量糟糕前端工程师的存在，扰乱了市场
这或许是难以招到优秀前端工程师最明显的原因。由于前端工程师的入门门槛非常低， *** 、CSS、HTML并不是很难入门掌握的语言，似乎只要花一点时间，谁都可以通过网上教程和书本学会它。对的，前端工程师市场就是被这些浅尝辄止的家伙搞坏的。
糟糕的前端工程师是这样做事的：
1、滥用 JavaScript 库，因为他们实际上并不了 JavaScript 的核心（e.g. 一切都用 jQuery）；
2、滥用 JavaScript 插件，无节制的复用别人的代码，哪怕自己根本读不懂；
3、不看需求、设计，也不做比较或评价，就给 Web 应用程序添加 CSS 框架，却只用到框架的一小部分；
4、认为只要用了 CSS 框架，网站就是响应式的，或是对响应式设计的意义理解不到位；
5、一边在说着「响应式 Web 设计」，却对服务器端解决方案技术一无所知；
6、用 CSS 编程时不做预处理器、命名规范等；
7、忽视性能、内存泄露（并不理解内存泄露的真正含义），不会检测代码；
8、不会用指标衡量一个产品，或者这种指标旨在自己的电脑、浏览器、设备有效；
9、忽视 30 年来的软件工程技术，闭门造车。
要知道，入门容易精通难，计算机和软件的基础对你用 *** 或浏览器编程都非常重要。web可能是最有影响力的平台和环境之一，在那里执行的程序必须被小心对待。一位优秀的前端工程师不仅要考虑web技术和语言，并且还要了解所有不同的组件、系统和概念。
以下是优秀的前端工程师在即时面对普通的任务也会做的事情（这才是市场急需的前端）：
1、DNS 解析，使用 CDN，把资源请求分散到多个域名上去；
2、理解 HTTP Headers (Expires、Cache-Control、If-Modified-Since)
3、Steve Souders 的所有高性能网页优化规则(参考：High Performance Websites 一书)
4、如何解决 PageSpeed、YSlow、Chrome Dev Tools Audit、Chrome Dev Tools Timeline 等工具列出的所有问题；
5、何时把任务传到服务器，何时适合传到客户端；
6、缓存，预取和延迟加载技术的使用；
7、原生 JavaScript，知道何时从头开始做，何时参考别人的代码，同时可以评估这样做的优缺点；
8、 最新的 MVC Javascript 库知识以及用法；
9、CSS 标准的知识与用法；
10、JavaScript的计算机科学部分的知识（内存管理，垃圾收集算法等等）
换句话说，如果说精通HTML+CSS+ *** ，了解后端知识，只是60分的合格前端；那么要想成为受追捧、拿高薪的80分优秀前端，要对业务需求和、架构设计有真正的运用；而100分的顶级前端，则必须要能够兼顾技术和设计，更接近「以前端开发为主的全栈工程师」了。
100offer 说：市场不是缺少前端，而是缺少优秀的前端工程师
现在，前端工程师终于前所未有的在web中占有了一席之地。随着多设备、浏览器和Web标准的演变革命，前端正在成为兼顾逻辑、性能、交互、体验的综合性岗位。
虽然现在互联网行业普遍缺少前端工程师，但是我们相信越来越多的人将会加入前端的大军。不仅是因为大多数前端工作提供的优渥薪水和办公环境，也是因为web中的前端编程变得越来越有挑战和意义。
最后，分享一组3~4月的100offer拍卖数据，给前端们鼓鼓劲：
前端工程师人均收获8.2个面试机会，已入职的前端工程师平均薪资涨幅达39%。其中，前端offer之王共收获47个offer，更高offer薪水38k*16 ，开自某土豪电商。
加油吧，前端！