一、攻击类型
- 跨站脚本攻击（XSS, Cross-Site Scripting）
- 定义：攻击者在网页上发布包含攻击性代码的数据，当浏览者看到此网页时，特定的脚本就会以浏览者用户的身份和权限来执行。
- 影响：通过XSS可以比较容易地修改用户数据、窃取用户信息，以及造成其它类型的攻击，例如CSRF攻击。
- 跨站请求伪造（CSRF, Cross-Site Request Forgery）
- 定义：攻击者通过各种方法伪造一个请求，模仿用户提交表单的行为，从而达到修改用户的数据，或者执行特定任务的目的。
- 影响：利用用户登录状态，在用户不知情的情况下完成业务请求，如转账、发帖等，损害用户利益或网站声誉。
- SQL注入（SQL Injection）
- 定义：通过把SQL命令插入到web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。
- 影响：非法获取、篡改或删除数据库中的数据，甚至可能控制整个服务器。
- 分布式拒绝服务攻击（DDoS, Distributed Denial of Service）
- 定义：攻击者通过控制多台计算机或网络设备同时向目标服务器发送大量请求，导致服务器资源耗尽，无法响应正常用户的请求。
- 影响：使目标网站瘫痪，无法提供服务。
- 点击劫持（Clickjacking）
- 定义：攻击者将攻击网站通过iframe进行嵌套到自己的网站中，并把iframe设置为透明，在页面透出一个按钮引诱用户点击。
- 影响：用户在不知情的情况下执行了恶意操作，如支付、转账等。
二、解决方法
- 跨站脚本攻击（XSS）
- 确保输出到HTML页面的数据以HTML的方式被转义。
- 使用现代前端框架：如Vue、React等，它们通常会自动处理XSS攻击，但需注意避免使用可能引发XSS的API（如Vue的v-html、React的dangerouslySetInnerHTML）。
- 设置Content Security Policy（CSP）：通过HTTP响应头中的CSP来减少XSS攻击的风险。
- 跨站请求伪造（CSRF）
- 使用POST请求代替GET请求：增加攻击的难度。
- 添加CSRF Token：在会话中增加token，确保请求是用户本人发起的。
- 验证Referer：检查HTTP请求中的Referer字段，确保请求来自合法的源。
- SQL注入
- 使用参数化查询：避免直接将用户输入拼接到SQL语句中。
- 限制数据库权限：为应用使用单独的、权限有限的数据库连接。
- 输入验证：对用户输入进行严格的验证，过滤掉非法字符。
- 分布式拒绝服务攻击（DDoS）
- 使用防火墙和DDoS防护服务：如阿里云WAF等，可以有效抵御DDoS攻击。
- 增加带宽和服务器资源：提高网站的承载能力。
- CDN加速：通过CDN分散流量，减轻源站压力。
- 点击劫持
- 设置X-Frame-Options HTTP响应头：防止网站被嵌入iframe中。
- 使用JavaScript进行防御：如检查top.location.hostname与self.location.hostname是否一致。