Web前端黑客技術揭祕

瞭解了前端完全的一些概念，分享了簡單的攻擊案例，但不是太深入，需要再多看些相關的書籍，學習更有深度的安全知識!

講得不夠透徹，敘述結構不清晰，對於有一定基礎的人而言，都有些雲裏霧裏。有些概念是突然冒出來的，沒有解釋，還以爲自己錯過了什麼內容。 不過話說回來，作爲web開發人員，平時該怎麼注意web安全呢？其實大部分web框架對xxs和csrf都提供了默認的保護，實現安全操作很容易，往往加上一兩句代碼，很多漏洞都可以避免，這裏總結幾個： 用戶輸入的值，該編碼的去編碼； 修改數據的請求一定要限制只能post，同時帶上csrf驗證； 所有請求輸入參數都得進行校驗，特別是字符串，一定得過濾非法字符，實在不行的，輸出的時候務必要進行編碼； url中不要出現敏感信息； cookies儘量用httponly的方式，也不要在客戶端存儲用戶的敏感信息，哪怕是加密的也不行； sql執行無論如何都得以參數化的方式（不開玩笑，還有再把參數用拼字符串方式寫sql的員工，建議辭退）； 能上https就上https（這個給運維做）； 頁面儘量加上iframe的限制（一句frame busting腳本加上x-frame-options頭部足夠對付點擊劫持）； web服務器的server和x-powered-by http頭部順手關閉（雖然沒什麼用，但能一定程度上避免被嗅探出服務器程序的語言和框架） 安全和隱私相關的頁面要記錄操作和訪問日誌，在異常訪問（比如錯誤過多，或者批量訪問）時告警 不影響用戶體驗時，敏感頁面加上二次密碼驗證或者驗證碼 …… 總結 安全的問題最終是人的問題，你不重視，早晚有人來鑽漏洞。一把鎖總是可能被撬開的，但是如果你門都不鎖，被別人偷了就不能怪鎖不夠牢靠。 安全防範並不是說要做到滴水不漏，而是儘可能增加對方的攻擊成本。 總體來說，這本書還是從一定程度上開闊了我們對於web安全的眼界，知道怎麼攻，才能更好的懂的怎麼防。

本書寫自13年，但其中的思路卻仍然在延續，安全問題不可忽視，很多時候，攻擊都是在悄悄進行的，涉及一個巨大的地下鏈，你的個人信息在不知不覺的情況就可能被髮送到了黑客手裏，甚至可以通過你，散播更多病毒，完成Web蠕蟲的擴散，危害再大一點甚至能滲透到操作系統，不可想象，很多歷史事件應該讓我們重視。看到XSS攻擊時，我也在自己的網站測試了一下，發現存在很多XSS和CSRF漏洞可攻擊。本書從分別從攻防兩個角度，詳細介紹漏洞原理及實現方式，作爲Web開發人員，我們更有義務做好防護，書中的攻擊方式或許已經過時，現在的廠商應該對這些攻擊做了防禦，但攻擊的思想原理不會變，以後肯定會有更多形式的攻擊存在，我們應該隨時關注系統的安全問題。

如果你像我一樣希望改進前端安全，那這本書並沒有系統的甚至建設性的意見；如果你是一個菜鳥工具狂，那你最好還是先學如何用溢出工具或者漏洞掃描攻陷服務器端。 整體看完讓人感覺很不舒服，可能是因爲我存在技術上的潔癖和道德感，純粹主觀情緒分。 任何技術都沒有善惡之分，但是程序員有。請做一個真正意義的hacker，不要在技術的自由世界裏膨脹。

可能是我更喜歡餘弦的原因吧，，看書的時候感覺就像是，，，就像是在跟餘弦面對面交流，，大神就是大神，，雖然是13年的書，，但，強烈推薦！

雖然前端更新迭代很快，但是圍繞前端的安全問題卻一直存在，雖然本書中代碼可能有些陳舊，但是思想和理論及事例絕對具有很高的指導和實踐意義。        比起後端直接控制服務器的危害來說，很多廠商都覺得前端安全問題不值得一提，但是這種小問題累計起來消費掉的是用戶的信任。        而且，前端安全問題很有可能爲一些嚴重的安全問題提供直接的便利條件。所以在當今這個互聯網高速發展的時代，前端安全問題仍舊需要得到高度重視。

3.5星 案例數量適中，有作者自己的見解，實戰性高，建議有一定html,css,javascript，框架基礎的看，另外可以用webhacking101輔助學習

對於我這種沒什麼技術的門外漢講，還是能夠借這本書泛泛瞭解一下相關的技術的。至於寫的好不好以及更深層次的東西，因爲還不怎麼了解相關技術操作，也看不出來什麼。只能等以後懂得多了，回看複習後才能再追加評論吧。網絡安全這方面，實踐上手是重中之中。最後吐槽一句，背後的那麼多知識，真是要頭禿！

讀這本書的感覺就是，我們圈有點亂，瀏覽網頁沒事不要亂點、亂摸。 再有就是對自己寫的頁面產生了深深的擔憂……

書上XSS平臺的github一打開就看到最後一次提交時間是8年前，不得不感嘆安全的飛速發展。師傅們真������比