SegmentFault 技术周刊 Vol.13 - Web 安全指南（下）

……

安全入侵的形式那么多，到底该如何防范？！

鉴于最近杭州电信疯狂的 HTTP 劫持，我觉得了解一下基本的安全策略还是有必要的，所以有了这两期的「安全指南」。上期周刊（Vol.12 - Web 安全指南（上）），介绍了内容传输协议如何进行安全保障的方式——HTTPS。这一期，将从浏览器的安全入手，进一步完善防范的策略：

- 源与同源
- 同源策略与跨域
  - Cookie (Http-Only)
  - Ajax (CORS / JSONP)
  - iframe
- XSS (Cross-Site Script)
  - 防止 XSS 攻击 - 转义
  - HTML 转义
  - XSS-filter
- CSP (Content Security Policy)
- CSRF (Cross-Site Request Forgery)
- SQL Injection
- X-Frame-Options
- 安全相关的 HTTP 头

你没看错，仅仅想到的，就有这么多，步步皆需预防。

而这个系列的两期周刊，就是想培养起安全的意识和基本思路。在问题出现前，就去做这些必要的准备，去研究可能的解决方式，防患于未然。本期周刊，我们整理了浏览器安全策略相关的内容，也许不够全面也可能不够深，但希望，这是一个开始。

内容目录

• 概览

  • 聊一聊 WEB 前端安全那些事儿 丨 侯医生

  • 确保你网页的安全 丨 jimmy_thr

• 同源策略与跨域

  • 浅谈浏览器端 JavaScript 跨域解决方法 丨 rccoder

  • JavaScript 四种跨域方式详解 丨 JasonKidd

  • 浅谈 JSONP 丨 一波不是一波

  • 为什么是 JSONP 丨 离独逸

  • 理解 CORS (Cross-Origin Resource Sharing) 丨 JerryC

  • 从原理分析 CORS——我们到底是怎么跨域的 丨 gzchen

  • 浏览器和服务器实现跨域（CORS）判定的原理 丨 chitanda

  • 前端通信进阶 丨 jimmy_thr

  • 你真的会使用 XMLHttpRequest 吗？ 丨 ruoyiqing

• XSS & CSRF

  • 了解 XSS 与防范 丨 名一

  • XSS 零碎指南 丨 小胡子哥

  • Content Security Policy 入门教程 丨 阮一峰

  • 前后端分离架构下 CSRF 防御机制 丨 wilee

  • 如何通过 JWT 防御 CSRF 丨 名一

• 其他

  • SQL 注入详解 丨 songjz

  • 聊一聊 Cookie 丨 ruoyiqing

  • Cookie 在前端中的实践 丨 Mertens

  • OkHttp3 之 Cookies 管理及持久化 丨 Akioss

  • 在浏览器中快速探测 IP 端口是否开放 丨 v1

---