本文目录一览：
- 1、程序员需要具备哪些东西?
- 2、在学习XSS前应该学习什么?
- 3、XSS攻击的背景知识
- 4、为什么要同源策略
- 5、如何正确防御xss攻击
程序员需要具备哪些东西?
1、程序员需要具备什么呢？程序员要有足够的知识储备，一般要求专科及以上学历，当然高中、中专也可以从事网站开发、APP开发等一些工作，稍微有规模的公司要求会比较高，大厂对学历都有一定要求。
2、书写注释和文档能力 很多人认为编程就是写代码，其实这种想法是非常片面的。软件开发主要是由代码和文档组成的，一名优秀的程序员，不仅需要写好代码，还需要具备很强的注释和文档书写能力。
3、作一个真正合格的程序员，应该具有的素质。1：团队精神和协作能力 团队精神和协作能力是作为一个程序员应具备的最基本的素质。软件工程已经提了将近三十年了，当今的软件开发已经不是编程了，而是工程。
4、文档写作习惯 任何一个优秀的程序员都是需要写文档的，良好的文档是正式研发过程中非常重要的一部分。作为Java程序员，一般花30%额时间写技术文件，但是昌平java培训认为如果是高级程序员和系统分析人员，其比例更高。
在学习XSS前应该学习什么?
1、XSS问题源于某一个WEB站点或应用存在安全问题，但受同源策略的约束，攻击者只能访问存在漏洞的站点的回话信息，无法访问其他域的回话信息。
2、)深入学习一种数据库语言，建议从MySQL数据库或者SQL Server数据库、简单易学且学会了。其他数据库都差不多会了。
3、学习web渗透，就是从零散到整体。我们入门门槛比较低，学会用工具就可以了。但是从入门到另一个层次就比较难了，也是大部分脚本小子迷茫的地方。
4、想好后，就要每天坚持。我的一些建议：每天多任务进行，比如早上两小时看英语学习，之后看语言，（C语言之后python之后php），下午看些网络上的渗透资料，晚上实践，等到资料看完。
5、学习内容如下：熟悉基本概念(SQL注入、上传、XSS、CSRF、一句话木马等)。通过关键字(SQL注入、上传、XSS、CSRF、一句话木马等)进行Google。阅读《Web安全深度剖析》，作为入门学习还是可以的。
6、一：学网络安全需要的知识：必须精通TCP/IP协议族。学习和了解各种OS 平台，如：linux，UNIX，BSD 等。随时关注网络安全最新安全动态。熟悉有关网络安全的硬软件配置方法。尤其交换机和路由的配置。
XSS攻击的背景知识
1、摘要：XSS攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。
2、常见的XSS攻击有三种：反射型XSS攻击、DOM-based型XSS攻击、存储型XSS攻击。
3、XSS攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。
4、XSS攻击主要是由程序漏洞造成的，要完全防止XSS安全漏洞主要依靠程序员较高的编程能力和安全意识，当然安全的软件开发流程及其他一些编程安全原则也可以大大减少XSS安全漏洞的发生。
5、什么是XSS攻击XSS又叫CSS (Cross Site Script) ，跨站脚本攻击。它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意攻击用户的特殊目的。
为什么要同源策略
1、一个重要原因就是保护cookie，cookie中存着用户的登陆凭证，就相当于用户的账号密码。想象以下场景，你正吃着火锅唱着歌，突然收到一封邮件说你的银行账号存在安全隐患，点击修复。
2、同源策略，它是由Netscape提出的一个著名的安全策略。现在所有支持JavaScript 的浏览器都会使用这个策略。所谓同源是指，域名，协议，端口相同。
3、同源策略是浏览器的行为，是为了保护本地数据不被JavaScript代码获取回来的数据污染，因此拦截的是客户端发出的请求回来的数据接收，即请求发送了，服务器响应了，但是无法被浏览器接收。
如何正确防御xss攻击
后端需要对提交的数据进行过滤。前端也可以做一下处理方式，比如对script标签，将特殊字符替换成HTML编码这些等。DOM-based型XSSDOMXSS是基于文档对象模型的XSS。一般有如下DOM操作：使用document.write直接输出数据。
传统XSS防御多采用特征匹配方式，在所有提交的信息中都进行匹配检查。对于这种类型的XSS攻击，采用的模式匹配方法一般会需要对“javascript”这个关键字进行检索，一旦发现提交信息中包含“javascript”，就认定为XSS攻击。
防御xss攻击需要重点掌握以下原则：在将不可信数据插入到HTML标签之间时，对这些数据进行HTML Entity编码。在将不可信数据插入到HTML属性里时，对这些数据进行HTML属性编码。
尽量使用框架。通过对自己的网页进行xss保留型攻击的测试，尽管自己没有对某些输入框进入转义，但还是无法进行xss注入，因为框架会自动将某些特殊字符转义。（我使用的spring+struts+hibernate框架）。
xss漏洞防御方法有输入过滤、纯前端渲染、转义HTML和标签和属性基于白名单过滤。输入过滤：有时候需要多次过滤，例如script过滤掉后还是，需要注意多个过滤器的先后次序。
使用高防服务器。搭建CDN，隐藏服务器真实IP。