什么是xss攻击及如何防范

XSS 即（Cross Site Scripting）中文名称为：跨站脚本攻击。XSS的重点不在于跨站点，而在于脚本的执行。那么XSS的原理是：
恶意攻击者在web页面中会插入一些恶意的script代码。当用户浏览该页面的时候，那么嵌入到web页面中script代码会执行，因此会达到恶意攻击用户的目的。

可以通过以下几种方式预防：

1 输入过滤

过滤所有用户输入的数据，默认可以使用 HtmlUtil::filter 进行富文本过滤）

2 显示转义

在 blade 页面渲染数据时通常有两种方式，如果内容中可能含有 xss 内容，需要过滤或者使用第一种

## 第一种，会把 < > 等特殊字符转换为实体字符
{{ $xxx }}
## 第二种，会原样输出，不对字符进行转换
{!! $xxx !!}

3 X-Frame-Options

防止网页被嵌套

攻击者可以使用一个透明的、不可见的iframe，覆盖在目标网页上，然后诱使用户在该网页上进行操作，此时用户将在不知情的情况下点击透明的iframe页面。通过调整iframe页面的位置，可以诱使用户恰好点击iframe页面的一些功能性按钮上，导致被劫持。

生产环境的网站都会添加防盗链，不希望自己网页页面被其他站的 FRAME 嵌套进去， 这时候就需要的HTTP协议头里增加X-Frame-Options这一项。

• DENY 表示该页面不允许在 frame 中展示，即便是在相同域名的页面中嵌套也不允许。
• SAMEORIGIN 表示该页面可以在相同域名页面的 frame 中展示。
• ALLOW-FROM “https://example.com/” 表示该页面可以在指定来源的 frame 中展示。

Nginx

add_header X-Frame-Options DENY;
add_header X-Frame-Options SAMEORIGIN;
add_header X-Frame-Options "ALLOW-FROM https://xxx.xxxxxx.com http://example.com";

4 Content-Security-Policy

内容安全策略

CSP 的实质就是白名单制度，开发者明确告诉客户端，哪些外部资源可以加载和执行，等同于提供白名单。它的实现和执行全部由浏览器完成，开发者只需提供配置。CSP 大大增强了网页的安全性。攻击者即使发现了漏洞，也没法注入脚本，除非还控制了一台列入了白名单的可信主机。