web安全

关于xss讲但最好但是这篇文章，主要通过数据流向讲清楚了什么是反射型xss和dom型的区别
《xss攻击的三种类型》
https://www.jianshu.com/p/7826bf9e8efd
反射型 XSS 的数据流向是：浏览器 -> 后端 -> 浏览器。
存储型 XSS 的数据流向是：浏览器 -> 后端 -> 数据库 -> 后端 -> 浏览器。
DOM-XSS 的数据流向是：URL-->浏览器

csrf的防范，主要是两大种，一种是判断refer，一种是给前端下发一个token。
下发的token可以要求前端以cookie形式保存，请求的时候cookie里要带上这个token，同时也要求header或请求参数里带上cookie中的token部分。后端比对请求里的token和cookie里的token。如果是csrf，它有cookie，但没有请求里的token。

不再使用header里的cookie字段来验证登录态，可以使用header的其他字段，比如auth来验证登录态，这个auth里可以有一部分数据来自cookie，或者全部