HTML應用安全
通常，我們使用HTML來創(chuàng)建交互網(wǎng)站，我們不能保證網(wǎng)絡上每一個用戶都是正直，友好的，為了大部分友好用戶的體驗和安全，我們需要關注網(wǎng)站的脆弱性，防止攻擊者通過這些弱點進行攻擊，竊取用戶信息。本篇關注應用程序的安全性及應用程序開發(fā)過程中易犯的錯誤，主要介紹跨站腳本(XSS)和跨站請求偽造(CSRF)。
網(wǎng)絡上大部分安全問題都是源于“origin”(源或域)這一概念，主要的攻擊都涉及到跨域行為。
XSS (Cross-site scripting)
XSS，跨域腳本攻擊，是當前比較常見的一種網(wǎng)絡攻擊。
SQL注入(SQL injection)
在接受不確定輸入內(nèi)容(如第三方站點消息，URL參數(shù)，用戶創(chuàng)建的文本批注等)時，在使用前對數(shù)據(jù)進行驗證并且在展示時進行適當?shù)木幋a是必不可少的，否則，可能會有惡意用戶對網(wǎng)站進行攻擊，輕者只是傳遞不規(guī)范的數(shù)據(jù)，嚴重的可能攻擊服務器，擾亂網(wǎng)站正常運行，如，注入SQL腳本清除服務器上所有數(shù)據(jù)等。
通常編寫過濾器驗證用戶輸入時，過濾器應該是基于白名單(已知的安全結構)配置編寫，允許白名單通過，不允許其他輸入;而基于黑名單(已知的不安全結構)配置編寫，即允許除了黑名單之外的所有輸入，是不安全的，因為還有許多未知的不安全事物。
JavaScript腳本注入
通常我們根絕URL中的指定參數(shù)，返回給用戶不同頁面，提供給用戶如下導航：
- Home
- About Site
- My Account
如上，若以上URL沒有編碼直接展示給用戶，惡意攻擊者可以截斷URL并插入一個script元素：
http://blog.jhss.com/?id=%3Cscript%3Ealert%28%27Oh%20no%21%27%29%3C/script%3E
若其他用戶訪問這個URL頁面，則會執(zhí)行注入的script標簽內(nèi)的任意腳本，惡意者可以指定惡意代碼，竊取用戶信息。
還有很多方式被用來欺騙站點執(zhí)行注入的代碼，如下是我們應該考慮的方面：
1.當時用看似無害的元素時，應該限制其可以使用的屬性。如， 元素，如果允許使用onload屬性，則攻擊者可以使用onload屬性添加回調(diào)函數(shù)執(zhí)行任意指定代碼。
2.當允許插入 元素時，意味著當前頁面所有