本文目录一览：
CSRF跨站请求伪造的安全防护
CSRF攻击之所以成功，是因为黑客可以完全伪造用户的请求，该请求中所有的用户验证信息都是存在于cookie中，因此黑客可以在不知道这些验证信息的情况下直接利用用户自己的cookie来通过安全验证。
（2）在请求地址中添加token并验证CSRF攻击之所以能够成功，是因为黑客可以完全伪造用户的请求，该请求中所有的用户验证信息都是存在于cookie中，因此黑客可以在不知道这些验证信息的情况下直接利用用户自己的cookie来通过安全验证。
CSRF攻击，全称为“Cross-site request forgery”，中文名为跨站请求伪造，也被称为“One Click Attack”或者“Session Riding”，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。
不懂前后端分离?这篇就够
前后端分离并不只是开发模式，而是web应用的一种架构模式。在开发阶段，前后端工程师约定好数据交互接口，实现并行开发和测试；在运行阶段前后端分离模式需要对web应用进行分离部署，前后端之前使用HTTP或者其他协议进行交互请求。
先理清业务流程 定义前后端开发的接口规范。
前后端分离的意思是，前后端只通过 JSON 来交流，组件化、工程化不需要依赖后端去实现。
前后端分离的意思是，前后端只通过JSON来交流，组件化、工程化不需要依赖后端去实现。
所以之后我了解到，其实是我没有了解 FBV 与 CBV 的概念。正所谓：类就是 把数据封装进对象里 ，并赋予对象 行为 的能力。
session劫持防范
1、原理：攻击者作为第三方参与到正常通信过程中，或者在数据里加入其他信息，甚至将双方的通信模式暗中改变，即从直接联系变成有攻击者参与的联系。
2、对于Session漏洞的防范 从前面的分析可以知道，Session攻击最常见的就是会话劫持，也就是黑客通过各种攻击手段获取用户的Session ID，然后利用被攻击用户的身份来登录相应网站。
3、在设置 Session 共享时，通常需要设置 Session ID 的长度。这是因为 Session ID 是用于标识和区分不同用户的唯一标识符。较长的 Session ID 长度可以增加其唯一性，减少重复的可能性，从而提高系统的安全性和性能。
4、【答案】：所谓会话劫持，就是在一次正常的通信过程中，黑客作为第三方参与到其中，或者是在数据流里注射额外的信息，或者是将双方的通信模式暗中改变，即从直接联系变成交由黑客中转。
5、会话侦听和劫持技术是属于协议漏洞渗透技术网络监听是指监视网络状态、数据流程，以及网络上信息传输。通常需要将网络设备设定成监听模式，就可以截获网络上所传输的信息。这是渗透测试使用的最好的方法。
6、在vivo手机中，为了增加安全性和保护用户隐私，系统可能会在每次网络连接时重新生成一个新的sessionid。这样可以防止 sessionid 被截获或滥用，提高了用户数据的安全性。此外，sessionid的变化也可能与vivo手机系统的优化有关。
如何防止xss攻击,需要过滤什么
防御xss攻击的方法为：输入合法性验证、转义特殊字符、设置HTTP头部、使用脚本过滤器、限制cookie。输入合法性验证：在服务端对用户输入的数据进行合法性验证，如检查输入是否符合指定格式，排除恶意字符等。
对所有用户提交内容进行可靠的输入验证，包括对URL、查询关键字、HTTP头、POST数据等，仅接受指定长度范围内、采用适当格式、采用所预期的字符的内容提交，对其他的一律过滤。
防御xss攻击需要重点掌握以下原则：在将不可信数据插入到HTML标签之间时，对这些数据进行HTML Entity编码。在将不可信数据插入到HTML属性里时，对这些数据进行HTML属性编码。
xss漏洞防御方法有输入过滤、纯前端渲染、转义HTML和标签和属性基于白名单过滤。输入过滤：有时候需要多次过滤，例如script过滤掉后还是，需要注意多个过滤器的先后次序。
防护存储型xss漏洞方法有：输入过滤、纯前端渲染。输入过滤：有时候需要多次过滤，例如script过滤掉后还是，需要注意多个过滤器的先后次序。当多个过滤器一起生效时，有可能后进行的过滤导致前面的过滤失效。
