本文目录一览：
如何避免xss,比如svgsvg+onload%3Ddocument.cookie
防止上行注入攻击，你必须避免那些允许你关闭现有context开始新context的字符；而防止攻击跳跃DOM层次级别，你必须避免所有可能关闭context的字符；下行注入攻击，你必须避免任何可以用来在现有context内引入新的sub-context的字符。
如何防御XSS攻击？[if ！supportLists][endif]对输入内容的特定字符进行编码，列如表示html标记等符号。[if ！supportLists][endif]对重要的cookie设置httpOnly，防止客户端通过document。
我们通过document.cookie来获取当前网站下的cookie的时候，得到的字符串形式的值，它包含了当前网站下所有的cookie(为避免跨域脚本(xss)攻击，这个方法只能获取非 HttpOnly 类型的cookie)。
XSS：跨站脚本攻击，不需要登录，向网站注入脚本（盗用cookie，改变页面的dom结构，重定向链接）。
none任何时候都带上cookie。HTTPonly：安全性，客户端脚本无法通过document.cookie等方式获取读写。有助于避免xss攻击。CSRF攻击：cookie往往用来存储用户的身份信息，恶意网站可以设法伪造带有正确cookie的HTTP请求。
CSP策略及绕过方法
1、启用 CSP方法：一种是通过 HTTP 头信息的Content-Security-Policy的字段，另一种是通过网页的meta标签。
2、CSP有两类：Content-Security-Policy和 Content-Security-Policy-Report-Only。HTTP Content-Security-Policy头可以指定一个或多个资源是安全的，而Content-Security-Policy-Report-Only则是允许服务器检查（非强制）一个策略。
3、最简单的方法是避免在服务器端代码中完全使用Host头，可以只使用相对URL。其他方法包括：1 正确配置绝对域名URL当必须使用绝对域名URL时，应在配置文件中手动指定当前域的URL，并引用配置的值，而不是从HTTP的Host头中获取。
4、CSP是作为一种向客户端传递安全策略的机制，每一种安全策略代表了一组安全指令，每个指令对资源的呈现做了限制。
5、QQ浏览器不能嗅探资源的原因可能是因为其内置的嗅探插件出现了问题，或者是因为被访问的网站进行了一些技术上的更新或者升级，导致嗅探插件无法识别和获取资源。另外，也可能是因为浏览器版本过低或者是插件被禁用了。
6、措施3：利用 CSP 浏览器中的内容安全策略，就是决策浏览器加载哪些资源。 Cross site request forgery 跨站点请求伪造。
如何防止xss攻击
1、传统XSS防御多采用特征匹配方式，在所有提交的信息中都进行匹配检查。对于这种类型的XSS攻击，采用的模式匹配方法一般会需要对“javascript”这个关键字进行检索，一旦发现提交信息中包含“javascript”，就认定为XSS攻击。
2、防御xss攻击需要重点掌握以下原则：在将不可信数据插入到HTML标签之间时，对这些数据进行HTML Entity编码。在将不可信数据插入到HTML属性里时，对这些数据进行HTML属性编码。
3、后端需要对提交的数据进行过滤。前端也可以做一下处理方式，比如对script标签，将特殊字符替换成HTML编码这些等。DOM-based型XSSDOMXSS是基于文档对象模型的XSS。一般有如下DOM操作：使用document.write直接输出数据。
在input的标签里怎么绕过xss双引号的编码过滤
对所有用户提交内容进行可靠的输入验证，包括对URL、查询关键字、HTTP头、POST数据等，仅接受指定长度范围内、采用适当格式、采用所预期的字符的内容提交，对其他的一律过滤。
在script标签中输出 如代码：？php c = 1；alert(3)；？ script type=text/javascript var c = ？=$c？；/script 这样xss又生效了。
第一，更高级的注入技术，例如联合使用引号和转义字符，可以绕过这些机制。第二，引入转义字符会增加字符串的长度，如果结果字符串的长度超过数据库限制的话，可能会导致数据截断。
Replace(str，”=”，”=”)//过滤等号 Replace(str，”””，”"”)//过滤双引号 5 结束语 通过以上分析我们看到，XSS是一种危害较大、较难防范，并且更加隐蔽的攻击方式。
因此，后台服务器需要在接收到用户输入的数据后，对特殊危险字符进行过滤或者转义处理，然后再存储到数据库中。(2) 输出编码。服务器端输出到浏览器的数据，可以使用系统的安全函数来进行编码或转义来防范XSS攻击。
