tag
XSS
該標籤下有 2 篇文章
2026-09-05
安全標頭怎麼選：哪些仍然需要、哪些已經過時、哪些反而有害
標頭不是越多越好。請分成三組：仍然有效的（CSP、HSTS、X-Frame-Options、nosniff、Referrer-Policy、Permissions-Policy）、已經過時的（Expect-CT 自 2021 年 6 月起大致已無作用），以及實際有害的（MDN 把 X-XSS-Protection 標為已棄用且非標準，並警告它可能在原本安全的網站上製造 XSS 漏洞）。照抄過時的清單，會把有害的設定和好的設定一起帶進來。
2026-06-08
XSS（跨站指令碼）是什麼：讓攻擊者的指令碼在其他使用者瀏覽器中執行的漏洞
XSS 是一種讓攻擊者準備的字串「作為指令碼」在另一名使用者的瀏覽器中被執行的漏洞，直接導致工作階段被竊取與冒充。主要的防禦是「輸出時跳脫」。不破壞框架的自動跳脫是最有效的對策。