本文目录一览：
3大Web安全漏洞防御详解：XSS、CSRF、以及SQL注入解决方案
随着互联网的普及，网络安全变得越来越重要。Java等程序员需要掌握基本的web安全知识，防患于未然，下面列举一些常见的安全漏洞，以及对应的防御解决方案。
1.前端安全
2.后端安全
1.XSS简介
跨站脚本（cross site script）简称为XSS，是一种经常出现在web应用中的计算机安全漏洞，也是web中最主流的攻击方式。
XSS是指恶意攻击者利用网站没有对用户提交数据进行转义处理或者过滤不足的缺点，进而添加一些代码，嵌入到web页面中去，使别的用户访问都会执行相应的嵌入代码。
2.XSS攻击的危害
1、盗取用户资料，比如：登录帐号、网银帐号等
2、利用用户身份，读取、篡改、添加、删除企业敏感数据等
3、盗窃企业重要的具有商业价值的资料
4、非法转账
5、强制发送电子邮件
6、网站挂马
7、控制受害者机器向其它网站发起攻击
3.防止XSS解决方案
XSS的根源主要是没完全过滤客户端提交的数据 ，所以重点是要过滤用户提交的信息。
1.CSRF简介
CSRF（Cross-site request forgery）跨站请求伪造，也被称为“One Click Attack”或者Session Riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。
XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与XSS攻击相比，CSRF更具危险性。
2.CSRF攻击的危害
主要的危害来自于，攻击者盗用了用户身份，发送恶意请求。比如：模拟用户的行为发送邮件，发消息，以及支付、转账等财产安全。
3.防止CSRF的解决方案
1.简介
SQL注入是比较常见的网络攻击方式之一，主要是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，实现无帐号登录，甚至篡改数据库。
2.SQL注入的危害
3.防止SQL注入的方式
通常情况下，SQL注入的位置包括：
（1）表单提交，主要是POST请求，也包括GET请求；
（2）URL参数提交，主要为GET请求参数；
（3）Cookie参数提交；
（4）HTTP请求头部的一些可修改的值，比如Referer、User_Agent等；
4.简要举例
举一个简单的例子,select * from user where id=100 ,表示查询id为100的用户信息，如果id=100变为 id=100 or 2=2,sql将变为：select * from user where id=100 or 2=2，将把所有user表的信息查询出来，这就是典型的sql注入。
5.防止SQL注入的解决方案
1）对用户的输入进行校验，使用正则表达式过滤传入的参数
2）使用参数化语句，不要拼接sql，也可以使用安全的存储过程
3）不要使用管理员权限的数据库连接，为每个应用使用权限有限的数据库连接
4）检查数据存储类型
5）重要的信息一定要加密
总之就是既要做好过滤与编码并使用参数化语句，也要把重要的信息进行加密处理，这样sql注入漏洞才能更好的解决。
以上就是Web安全介绍，更多Redis系列、Spring Cloud、Dubbo等微服务、MySQL数据库分库分表等架构设计，具体请参考：
回复关键词 【高并发】即可获取！
xss网络意思
XSS是一种跨站脚本攻击(Cross Site Scripting)，为了与css(层叠样式表)区分,故被人们称为Xss.它的攻击原理就是恶意浏览者构造巧妙的脚本恶意代码 通过网站功能存入到网站的数据库里面，如果程序没有经过过滤或者过滤敏感字符不严密就直接输出或者写入数据库，合法用户在访问这些页面的时候 程序将数据库里面的信息输出， 这些恶意代码就会被执行。
跨站脚本攻击（XSS），是最普遍的Web应用安全漏洞。这类漏洞能够使得攻击者嵌入恶意脚本代码到正常用户会访问到的页面中，当正常用户访问该页面时，则可导致嵌入的恶意脚本代码的执行，从而达到恶意攻击用户的目的。
扩展资料：
XSS网络攻击与钓鱼攻击相比，XSS攻击所带来的危害更大，通常具有如下特点：
1、由于XSS攻击在用户当前使用的应用程序中执行，用户将会看到与其有关的个性化信息，如账户信息或“欢迎回来”消息，克隆的Web站点不会显示个性化信息。
2、通常，在钓鱼攻击中使用的克隆Web站点一经发现，就会立即被关闭。
3、许多浏览器与安全防护软件产品都内置钓鱼攻击过滤器，可阻止用户访问恶意的克隆站点。
4、如果客户访问一个克隆的Web网银站点，银行一般不承担责任。但是，如果攻击者通过银行应用程序中的XSS漏洞攻击了银行客户，则银行将不能简单地推卸责任。
参考资料来源：百度百科-XSS攻击
什么是XSS攻击
XSS攻击又称为跨站脚本，XSS的重点不在于跨站点，而是在于脚本的执行。XSS是一种经常出现在Web应用程序中的计算机安全漏洞，是由于Web应用程序对用户的输入过滤不足而产生的，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。
常见的XSS攻击有三种：反射型XSS攻击、DOM-based型XSS攻击、存储型XSS攻击。
第一种：反射型XSS攻击
反射型XSS攻击一般是攻击者通过特定手法，诱使用户去访问一个包含恶意代码的URL，当受害者点击这些专门设计的链接的时候，恶意代码会直接在受害者主机上的浏览器执行。此类XSS攻击通常出现在网站的搜索栏、用户登录口等地方，常用来窃取客户端Cookies或进行钓鱼欺骗。
第二种：DOM-based型XSS攻击
客户端的脚本程序可以动态地检查和修改页面内容，而不依赖于服务器端的数据。例如客户端如从URL中提取数据并在本地执行，如果用户在客户端输入的数据包含了恶意的JavaScript脚本，而这些脚本没有经过适当的过滤或者消毒，那么应用程序就可能受到DOM-based型XSS攻击。需要特别注意以下的用户输入源document.URL、location.hash、location.search、document.referrer 等。
第三种：存储型XSS攻击
攻击者事先将恶意代码上传或者储存到漏洞服务器中，只要受害者浏览包含此恶意代码的页面就会执行恶意代码。这意味着只要访问了这个页面的访客，都有可能会执行这段恶意脚本，因此存储型XSS攻击的危害会更大。此类攻击一般出现在网站留言、评论、博客日志等交互处，恶意脚本存储到客户端或者服务端的数据库中。