JavaScript 中常见 Web 安全及防护原理？

在 JavaScript 中，常见的 Web 安全问题和防护原理包括：

1. 跨站脚本攻击（XSS）：

   • 攻击原理： 恶意用户注入恶意脚本代码到网页中，当其他用户访问该页面时，脚本会在用户浏览器中执行，盗取用户信息或进行其他恶意操作。
   • 防护原理： 输入验证、输出编码、HTTP 头设置（如 CSP）等，对用户输入进行严格过滤和转义，避免执行恶意脚本。

2. 跨站请求伪造（CSRF）：

   • 攻击原理： 攻击者利用用户已登录的状态，在用户不知情的情况下发起恶意请求，执行某些操作（如转账、更改信息）。
   • 防护原理： 使用随机 Token、双重身份验证、检查 Referer 等方式防止未经授权的请求。

3. 点击劫持（Clickjacking）：

   • 攻击原理： 攻击者将一个透明的、覆盖在正常网页上的恶意页面，诱使用户误操作点击。
   • 防护原理： 使用 X-Frame-Options 设置 HTTP Header、使用 JavaScript 阻止页面嵌入等方法。

4. 不安全的第三方资源：

   • 攻击原理： 使用不安全的第三方资源（如 CDN、库文件），被篡改后可能包含恶意代码。
   • 防护原理： 使用 HTTPS 加密连接、子资源完整性（SRI）检查等，确保引用的第三方资源的安全性。

5. 敏感信息泄露：

   • 攻击原理： 在页面中泄露敏感信息（如用户凭证、个人信息）。
   • 防护原理： 最小化敏感信息存储、使用安全的存储机制（如加密、哈希）、使用 HTTPS 加密传输数据等。

对于这些安全问题，最佳实践是在开发过程中，结合使用合适的安全策略、安全框架以及进行持续的安全审计和漏洞检测。