tag
XSS
该标签下有 2 篇文章
2026-09-05
如何选择安全响应头：哪些仍然需要、哪些已过时、哪些反而有害
响应头不是越多越好。把它们分成三组：仍然有效的（CSP、HSTS、X-Frame-Options、nosniff、Referrer-Policy、Permissions-Policy）、已过时的（Expect-CT 自2021年6月起基本已过时）、以及有害的（MDN 把 X-XSS-Protection 标为已废弃、非标准，并警告它可能在原本安全的网站上制造 XSS 漏洞）。照抄过时的清单，就会把有害的设置和有用的设置一起带进来。
2026-06-08
XSS（跨站脚本）是什么：让攻击者的脚本在其他用户浏览器中执行的漏洞
XSS 是一种让攻击者准备的字符串「作为脚本」在另一名用户的浏览器中被执行的漏洞，直接导致会话被窃取与冒充。主要的防御是「输出时转义」。不破坏框架的自动转义是最有效的对策。