如何正确防御xss攻击
XSS攻击通常是指黑客通过"HTML注入"篡改了网页，插入了恶意的脚本，从而在用户浏览网页时，控制用户浏览器的一种攻击。
一、HttpOnly防止劫取Cookie
HttpOnly最早由微软提出，至今已经成为一个标准。浏览器将禁止页面的Javascript访问带有HttpOnly属性的Cookie。目前主流浏览器都支持，HttpOnly解决是XSS后的Cookie支持攻击。
我们来看下百度有没有使用。
未登录时的Cookie信息
可以看到，所有Cookie都没有设置HttpOnly，现在我登录下
发现在个叫BDUSS的Cookie设置了HttpOnly。可以猜测此Cookie用于认证。
下面我用PHP来实现下：
?php
header("Set-Cookie: cookie1=test1;");
header("Set-Cookie: cookie2=test2;httponly",false);
setcookie('cookie3','test3',NULL,NULL,NULL,NULL,false);
setcookie('cookie4','test4',NULL,NULL,NULL,NULL,true);
?
script
alert(document.cookie);
/script
js只能读到没有HttpOnly标识的Cookie
二、输入检查
输入检查一般是检查用户输入的数据中是否包含一些特殊字符，如、、'、"等，如果发现存在特殊字符，则将这些字符过滤或者编码。
例如网站注册经常用户名只允许字母和数字的组合，或者邮箱电话，我们会在前端用js进行检查，但在服务器端代码必须再次检查一次，因为客户端的检查很容易绕过。
网上有许多开源的“XSS Filter”的实现，但是它们应该选择性的使用，因为它们对特殊字符的过滤可能并非数据的本意。比如一款php的lib_filter类：
$filter = new lib_filter();
echo $filter-go('1+11');
它输出的是1，这大大歪曲了数据的语义，因此什么情况应该对哪些字符进行过滤应该适情况而定。
三、输出检查
大多人都知道输入需要做检查，但却忽略了输出检查。
1、在HTML标签中输出
如代码：
?php
$a = "scriptalert(1);/script";
$b = "img src=# onerror=alert(2) /";
?
div?=$b?/div
a href="#"?=$a?/a
这样客户端受到xss攻击，解决方法就是对变量使用htmlEncode,php中的函数是htmlentities
?php
$a = "scriptalert(1);/script";
$b = "img src=# onerror=alert(2) /";
?
div?=htmlentities($b)?/div
a href="#"?=htmlentities($a)?/a
2、在HTML属性中输出
div id="div" name ="$var"/div
这种情况防御也是使用htmlEncode
在owasp-php中实现：
$immune_htmlattr = array(',', '.', '-', '_');
$this-htmlEntityCodec-encode($this-immune_htmlattr, "\"script123123;/script\"");
3、在script标签中输出
如代码：
?php
$c = "1;alert(3)";
?
script type="text/javascript"
var c = ?=$c?;
/script
这样xss又生效了。首先js变量输出一定要在引号内，但是如果我$c = "\"abc;alert(123);//"，你会发现放引号中都没用，自带的函数都不能很好的满足。这时只能使用一个更加严格的JavascriptEncode函数来保证安全——除数字、字母外的所有字符，都使用十六进制"\xHH"的方式进行编码。这里我采用开源的owasp-php方法来实现
$immune = array("");
echo $this-javascriptCodec-encode($immune, "\"abc;alert(123);//");
最后输出\x22abc\x3Balert\x28123\x29\x3B\x2F\x2F
4、在事件中输出
a href="#" onclick="funcA('$var')" test/a
可能攻击方法
a href="#" onclick="funcA('');alter(/xss/;//')"test/a
这个其实就是写在script中，所以跟3防御相同
5、在css中输出
在owasp-php中实现：
$immune = array("");
$this-cssCodec-encode($immune, 'background:expression(window.x?0:(alert(/XSS/),window.x=1));');
6、在地址中输出
先确保变量是否是"http"开头，然后再使用js的encodeURI或encodeURIComponent方法。
在owasp-php中实现：
$instance = ESAPI::getEncoder();
$instance-encodeForURL(‘url’);
四、处理富文体
就像我写这篇博客，我几乎可以随意输入任意字符，插入图片，插入代码，还可以设置样式。这个时要做的就是设置好白名单，严格控制标签。能自定义 css件麻烦事，因此最好使用成熟的开源框架来检查。php可以使用htmlpurify
五、防御DOM Based XSS
DOM Based XSS是从javascript中输出数据到HTML页面里。
script
var x = "$var";
document.write("a href='"+x+"'test/a");
/script
按照三中输出检查用到的防御方法，在x赋值时进行编码，但是当document.write输出数据到HTML时，浏览器重新渲染了页面，会将x进行解码，因此这么一来，相当于没有编码，而产生xss。
防御方法：首先，还是应该做输出防御编码的，但后面如果是输出到事件或脚本，则要再做一次javascriptEncode编码，如果是输出到HTML内容或属性，则要做一次HTMLEncode。
会触发DOM Based XSS的地方有很多：
document.write()、document.writeln()、xxx.innerHTML=、xxx.outerHTML=、innerHTML.replace、document.attachEvent()、window.attachEvent()、document.location.replace()、document.location.assign()
xss怎么接显示器nga
xss连hdmi2.0的显示器支持2k120hz。要判断自己对便携显示器的本质需求是什么。如果对色彩有高要求，则挑选高色域高色准的屏幕，如果主需在于移动使用的功能性上，则可以选择色彩稍弱，更具性价比的产品。
显示器：LG27gl850 (freesync)
主机：xss
在关闭了显示器自带的freesync，就能开启2k 120hz
如果关闭后仍然不能开启120hz，请在“视屏保真度和过度扫描”里尝试切换 自动检测和hdmi这两个按钮，切换几次后就能开启
扩展
刚入手XSS第二天的感受
就俩字儿，真香
3800把自己的2060魔龙出了，然后2600入了个港行带票全新未拆的XSS，接上我的2K屏，真香显示图片显示图片
买了一年的XGPU，之所以只买一年，是因为当时还想着矿难之后回归PC，然而当我逛XGPU的时候，这种想法越来越淡了
今天下午弄了下双屏切换组合，现在换成一横一竖的模式，主屏通过一个HDMI切换器来进行切换。晚上回去再上图
刚结束兼职回来，说一下目前几个让我很惊艳的点：
1. XSS居然可以连WIFI的！！！虽然我自己会做网线，虽然做一根短网线不难，虽然我走线功力还不错，但是，能wifi是真的香
2. XGPU实在是太香了
3. 噪音控制是真的牛批
4. 用网易UU加速之后，下载居然能跑到400Mbps
5. 基本没感觉到过卡顿(但是地平线4会偶尔卡死)
6. Quick resume是真的香
7. 颜值是真的高
谁知道xxs-01b.2b型闪光报警器咋用,线路咋接
XXS-201型单回路闪光报警仪为盘式拼装结构，光子牌显示，与外接电铃（或音响器），电源及控制按钮组成闪光报警仪系统。该仪表与输入信号为电接点式，在工业自动化控制系统中与各种接点式控制检测仪表配套使用监视各种设备运行状态，实现越限报警。
XXS-201型单回路闪光报警仪，集国内外同类产品之优点，根据石油、化工、电力、冶金、轻工等部门建议和要求而进行优化设计的新型产品，线路采用长寿命，低工耗高抗干扰能力的CMOS集成电路。闪光器件采用高亮度发光二极管作光源，具有光线柔和、醒目、功耗低、寿命长，是目前较理想的发光器件。代替了原来传统的白炽灯泡。
电路设计新颖，当无故障信号输入时（电接点在正常状态下），单元处于断电待命状态，不损功耗，保证了在正常状态下不会发生误报警，大大的增加了系统的抗干扰能力。
XXS-201型单回路闪光报警仪，与目前国内生产和使用的同类仪表相比具有显示醒目，结构新颖，可靠性强，安装方便，节能省电等优点。根据电厂现场的建议而改进的内部电路更趋合理，外型愈加美观的新产品。此产品推出后受到广大用户及设计人员的普遍欢迎和广泛选用。
二、主要技术指标：
1、报警仪输入路数：每台一路；
2、输入信号：常开接点或常闭接点；
3、输入回路电阻：≤75Ω；
4、报警显示：平面发光块（红色、黄色或绿色）发光二极管（红色、黄色或绿色）；也可是白炽灯泡；
5、报警输出：
①接点输出：接点容量AC220V/1A，可接24V电铃或本厂生产的XXS-24、XXS-48、XXS-220音响器及电铃音响器XXS-24A。
② 电平输出：输出直流电平4.8~5.2V,可接本厂生产的XXS-24、XXS-48、XXS-220音响器及电铃音响器XXS-24A。
6、电源：DC24V ±15%。（XXS-201A、B、C、D）。AC220V±10%50Hz（XXS-201E、F）
7、环境条件:
（1）湿度范围 0℃~+55℃
（2）相对湿度 ≤85%
8、报警方式：光字牌显示，灯光闪烁，闪光频率每秒0.5~1Hz。同时，外接音响器发出音响声。一分钟后自动转为平光，音响停止。或用手动确认后停止。
9、消耗功率：报警时 ＜ 1.2W
未报警时 ≤0.1W
三、报警工作状态：
1、A：输入为常开方式（闭合有效）时报警仪工作状态如下表：
外接信号输入状态 信号灯状态 表示状态 输出状态
1号端子低（无信号） 不亮 正常 低电平/断
1号端子高（有信号） 闪光 故障 高电平/通
4号端子高（+24V） 平光 故障确认 低电平/断
2号端子高（+24V） 闪光 自动测试 高电平/通
说明：
①信号灯闪亮一分钟后自动转为平光，表示确认有故障
②输出状态指报警仪端子3有高电平信号状态和端子7、8的通、
断状况。可驱动不同种类的音响器。也可以另种方式输出7、8
端子的通、断与输入信号同步。
③2号端子为动试端T，该端保持为高时，信号灯闪亮一分钟后
自动转为平光，测试即可结束。
④4号端子为确认端C，该端为高时可使闪亮的信号灯立即转
为平光。
B：输入为常闭点（断开有效）时报警仪工作状态如下表
外接信号输入状态 信号灯状态 表示状态 输出状态
1号端子低（有信号） 闪亮 故障 高电平/通
1号端子高（无信号） 不亮 正常 低电平/断
4号端子为高（+24V） 平光 故障确认 低电平/断
2号端子为高（+24V） 闪亮 自动测试 高电平/通
说明：当用户需要使用常开或常闭作为通常状态时，从表盘上将表芯取出，但壳体不要拆下。具体步骤如下：将报警仪后面上、下对角线螺钉及端子线松开，即可从前面抽出表芯。（参阅元件位置图7）
常开输入：IMS的AC（A'C'）接通 CB（C'B'）断开;1号端子由低(0V)变高(+24V),表示有故障信号.
常闭输入:IMS的A'C'断开 CB（C'B'）接通;1号端子由高(+24V)变低(0V),表示有故障信号.
厂方一般设定为常开输入方式.
2.工作时间:
报警仪由单台及多台并联使用,当故障信号接点闭合时,主电路进入工作状态,故障指示灯L开始以0.5秒~1秒闪光,同时继电器J 吸合,接通外电路发出声响.
3.故障确认分两种情况:
(1) 自动确认:无需人工干予.经过约60秒闪光,消除声响.转为平光.
(2)手动确认:只有人工掀下C 确认按钮时,消除音响,闪光才转入平光,且消除声响.
4.实验状态: 该状态为检查报警仪本身功能而设置,当揿下T动按钮时,多台并联的所有报警仪的灯都闪光,同时公用声响有声响.掀一下确认C时按钮，即转入确认状态.放开T动试按钮,立即恢复正常待命状态.★T动试按钮，请选用交替型自锁按钮；C确认按钮，请选用瞬时型普通按钮。
TCL的XESS智屏怎么样？
TCL·XESS 智屏是TCL 旗下高端子品牌 XESS新品，集超级VUI、巨屏手机、AI 大屏于一身，不仅是 XESS 在新品类的新产品布局，也是 TCL 整个产品层面上的技术升级。TCL·XESS 智屏融入了更多的创新元素，也将未来 AI 和物联网多网融合的趋势，利用的更为彻底。
TCL·XESS 智屏可以说是中国首款可旋转（竖屏）智慧大屏，它不是简单的手机投屏，竖屏呈现使得刷抖音、看资讯等更便利，最大限度利用屏幕空间。TCL·XESS 智屏将手机播放视频投屏的操作步骤简化，何时切换横屏和竖屏，是完全以 AI 根据手机画面显示的情况判断的。TCL·XESS 智屏的颠覆之处还在于它的超级VUI，是智屏针对语音界面交互重新设计的一套系统，除了语音引导，还能智能识别屏幕前用户的肢体动作，在无声中培养一种默契，实现最佳的交互体验。它能够通过人脸识别、声音识别等能力，支持感知用户身份，记录个人习惯；同时可以针对不同身份全自动运行预置情景。目前，TCL·XESS 智屏已经实现了对于冰箱、空调、洗衣机、智能锁等TCL旗下的智能设备的连接。
此外，TCL 旗下发雷鸟科技，是 TCL 与腾讯等合资产物，为系统开发及内容运营平台，为此次TCL·XESS智屏产品提供了软件系统开发、交互、内容等全方面支持。
可以说，说TCL·XESS 智屏是55英寸的“巨屏手机”，但同时又兼具更多手机以上的可能。在网上查到有更多的功能，等待探索。
notebook w35xss370ss没有声音怎么办
电脑没有声音是经常遇到的故障，一般有软件和硬件原因。
工具：电脑、相关软件
步骤：
一、软件方面
1、静音：这是一个最不是问题的问题，同时也是最容易忽略的一个问题，有时候电脑没有声音并非电脑的软件或者硬件有问题，只不过调成静音而已。解决的办法就很简单，把声音打开即可。
2、声卡驱动：这应该是很多人在电脑没有声音的时候首先想到的，确实这也是经常造成电脑没有声音的元凶之一。首先通过控制面板找到声音设备，然后点击声音和音频设备（具体位置请参看下图标注），如果弹出来的界面是灰色的，那么证明没有安装驱动程序，只要下载一个驱动安装即可，如果不知道下载什么样的，可以下载一个万能声卡驱动安装一下即可。
3、静音病毒：好像叫做波形静音病毒，中了这种病毒的表现为：电脑开机静音，表现为没有系统启动声音，查看波形音频被调为最小，不能播放声音，即使调了过来，过了几分钟又自动静音。 如果是病毒所致，解决办法就是查杀病毒，可以在安全模式下进行病毒的查杀，如果还不行的话，那么就重新安装系统。
4、服务未运行：这个应该是很多用户容易忽略的问题，那就是关闭了音频服务。当然可能并非是有意关闭，而是在进行开机优化的时候给禁止，这样导致的后果就是开机并没有启动音频服务，因此电脑没有声音。解决办法很简单，让开机自启动音频服务即可。具体执行方法是，右击我的电脑，点击管理，找到服务选项，双击进入，找到Windows Audio选项看它是否开启了，如果没有，把它开启并设为自动。
二、硬件问题
1、接口问题：不管使用耳机亦或者是音响，都需要通过固定的接口进行连接，如果连接的接口接触不良亦或者已经损坏了都会导致电脑没有声音，如果是台式机，可以换个接口试试看是否有声音，如果是笔记本，可以拔掉耳机或者音响看看是否有声音，如果有的话就可以确定是那个接口损坏造成的。解决办法很简单，更换个接口即可，如果是笔记本的话可能有点麻烦，很多只有一个接口，如果损坏就不能使用音响或者耳机了，如果你想用音响或者耳机听声音，那只有找人更换接口了
2、耳机问题：如果是在使用耳机听声音的话，遇到没有声音的情况首先要换个接口试试，如果还没有声音，可以换个耳机看看，如果另一个耳机有声音的话，就证明是耳机坏了。解决办法很简单，就是更换个耳机即可。
3、音响问题：如果使用音响听声音的话，遇到没有声音的时候首先要排除接口问题，确保接口没有问题，那么很可能是音响出现问题了，可以更换成耳机看看是否有声音，如果有的话，那么就是音响的问题。解决办法很简单，就是更换音响即可。
4、声卡问题：这个不好判断，确保都不是以上的问题，那么就有可能是声卡自身的问题了。具体是否是声卡损坏还需要专业的修理人员进行判断，如果是的话，那么只有更换声卡才能解决问题。
5、
xss有没有扬声器
带有扬声器的。是一个包括操作系统(如ProDOS、Mac OS和A/UX)、网络产品(如AppleTalk)和多媒体程序的苹果产品。
xss能不能链接小米音响
可以的。
?1.下载app：首先，你需要下载【小米AI】app，打开app，点击【登陆】，进入到下一界面。
_ ?2.登录app：你可以选择用手机号码接收验证码来登录app，也可以使用原本的小米账号和密码来登录。
_ ?3.配置音箱：然后将小米AI音箱连上电源，这时小爱同学音箱顶部的环形带灯为橙色。点开刚才的配置页面来【发现】小米AI音箱。
_ ?4.会在手机上显示小米AI箱的型号，然后点击【继续】。如果一直显示说找不到音箱。你可以【长按】音箱顶部的【CN】键来重置小米AI音箱。
_ ?5.设置WIFI密码：下一步就是选择你的WIFI，然后输入你的WIFI密码。再点击【记住密码】，不然的话下次又要重新配置了。输入完毕后点击【继续】。
_ ?6.这时手机显示小爱同学AI音箱正在配置中，等待1-2分钟后就会设置完成。再点击继续就可以使用了