一.Cookies特性 1.前端数据存储 2.后端通过http头设置 3.请求时通过http头传给后端 4.前端可读写 5.遵守同源策略 二.Cookies内容 1.域名 2.有效期,删除cookies是通过更改有效期来实现 3.路径,可以设置指定页面路径层级使用 4.http-only,只提供给http协议使用,即只在发送请求或接收中使用,js是不能使用的. 5.secure,只提供https协议下使用 三.Cookies作用 存储个性化设置 存储未登录时用户唯一标识 存储已登录用户的凭证,常…

Cookies cookies 特性 前端数据存储 后端通过 HTTP 头设置 请求时通过 HTTP 头传给后端 前端可读可写 遵守同源策略 域名 有效期 路径 http-only secure(https) cookies 作用 存储个性化设置 存储未登录时用户唯一标识 存储已登录用户的凭证 存储其他业务数据 Cookies-登录用户凭证 前端提交用户名和密码 后端验证用户名和密码 后端通过 http 头设置用户凭证 后续访问时后端先验证用户凭证 验证用户 ID ID+签名 生成复杂字符串 v…

CSRF:Cross Site Request Forgy(跨站请求伪造) 用户打开另外一个网站,可以对本网站进行操作或攻击.容易产生传播蠕虫. CSRF攻击原理: 1.用户先登录A网站 2.A网站确认身份返回用户信息 3.B网站冒充用户信息而不是直接获取用户信息,从B网站页面向A网站发起请求(携带A网站身份) CSRF危害: 利用用户登录态 用户不知情 完成业务请求 盗取用户资金 冒充用户发帖 损坏网站名誉等等 如何防御CSRF: 原理步骤3具体细节: (1)B网站向A网站请求 (2)带A网站…

XSS攻击:Cross Site Scripting(跨站脚本攻击) XSS攻击原理:程序+数据=结果,如果数据中包含了一部分程序,那么结果就会执行不属于站点的程序. XSS攻击能干什么?能注入Script标签注入程序,那么所有JS能干的事情攻击者都能干,比如如下一些操作: 1.获取页面数据,偷取网站任意数据 2.获取Cookies,偷取用户资料.偷取用户密码和登录态 3.劫持前端逻辑,欺骗用户 4.发送请求 XSS分类: 1.反射型:url参数直接注入 反射型需要将url发给别人进行传播,别人…

在Web应用中,Cookie很容易成为安全问题的一部分.从以往的经验来看,对Cookie在开发过程中的使用,很多开发团队并没有形成共识或者一定的 规范,这也使得很多应用中的Cookie成为潜在的易受攻击点.在给Web应用做安全架构评审(Security architecture review)的时候,我通常会问设计人员以下几个问题: 你的应用中,有使用JavaScript来操作客户端Cookie吗?如果有,那么是否必须使用JavaScript才能完成此应用场景?如果没有,你的Cookie允许Ja…

更好阅读,请移步这里 聊之前 最近暑期实习招聘已经开始,个人目前参加了腾讯和阿里的内推及百度的实习生招聘,在此总结一下 一是备忘.总结提升,二是希望给大家一些参考 其他面试及基础相关可以参考其他博文: Questions of FE Web basis summary FE knowledge fragment 每位面试官的面试时间基本都在 40-80 分钟,下面先简要介绍各个面试流程,问题详情见具体公司分类 腾讯内推&校招 offer got 首先腾讯分为三面,都为技术面: 初试一个面试官 复…

前端使用crypto.js进行加密 https://www.cnblogs.com/lz2017/p/8046816.html   最近我在前端使用Cookies保存密码的时候需要前端来进行加密工作,接触到crypto这个js,使用还算简单,在这里记录一下. 可以在这个GitHub的https://github.com/brix/crypto-js上下载该js,它可以单独引入所需要加密方式的js:也可以引入一个crypto-js.js 这个文件,它相当于引入了所有的加密方式,我使用的就是后者一次…

更好阅读,请移步这里 聊之前 最近暑期实习招聘已经开始,个人目前参加了阿里的内推及腾讯和百度的实习生招聘,在此总结一下 一是备忘.总结提升,二是希望给大家一些参考 其他面试及基础相关可以参考其他博文: Questions of FE Web basis summary FE knowledge fragment 每位面试官的面试时间基本都在 40-80 分钟,下面先简要介绍各个面试流程,问题详情见具体公司分类 腾讯内推&校招 offer got 首先腾讯分为三面,都为技术面: 初试一个面试官 复…

BAT 前端开发面经 —— 吐血总结   目录 1. Tencent 2. 阿里 3. 百度 更好阅读,请移步这里 聊之前 最近暑期实习招聘已经开始,个人目前参加了阿里的内推及腾讯和百度的实习生招聘,在此总结一下一是备忘.总结提升,二是希望给大家一些参考其他面试及基础相关可以参考其他博文: Questions of FE Web basis summary FE knowledge fragment 每位面试官的面试时间基本都在 40-80 分钟,下面先简要介绍各个面试流程,问题详情见具体公司分…

首先郑重声明:我不是对任何网站或者任何个人或组织有意见,仅仅是觉得 4点几 的评分对某些玩票的片段都太高了,为了落实想法,切实履行公民的投票权,并且 bibibabibobi biubiubiu..所以写了点小东西投票啊啊啊啊!!! 开始firebug分析了一下投票逻辑,发现他这边直接是前端验证cookies来判断投了没,可能也是小站点的问题,不结合物理地址也不让登陆才能投票. 没错了,就是这个,4000多次都是投上去的,可惜最低只能1分... 很简单的想法,移除掉所有cookies再点击投票…