Web前端黑客技术揭秘

了解了前端完全的一些概念，分享了简单的攻击案例，但不是太深入，需要再多看些相关的书籍，学习更有深度的安全知识!

讲得不够透彻，叙述结构不清晰，对于有一定基础的人而言，都有些云里雾里。有些概念是突然冒出来的，没有解释，还以为自己错过了什么内容。 不过话说回来，作为web开发人员，平时该怎么注意web安全呢？其实大部分web框架对xxs和csrf都提供了默认的保护，实现安全操作很容易，往往加上一两句代码，很多漏洞都可以避免，这里总结几个： 用户输入的值，该编码的去编码； 修改数据的请求一定要限制只能post，同时带上csrf验证； 所有请求输入参数都得进行校验，特别是字符串，一定得过滤非法字符，实在不行的，输出的时候务必要进行编码； url中不要出现敏感信息； cookies尽量用httponly的方式，也不要在客户端存储用户的敏感信息，哪怕是加密的也不行； sql执行无论如何都得以参数化的方式（不开玩笑，还有再把参数用拼字符串方式写sql的员工，建议辞退）； 能上https就上https（这个给运维做）； 页面尽量加上iframe的限制（一句frame busting脚本加上x-frame-options头部足够对付点击劫持）； web服务器的server和x-powered-by http头部顺手关闭（虽然没什么用，但能一定程度上避免被嗅探出服务器程序的语言和框架） 安全和隐私相关的页面要记录操作和访问日志，在异常访问（比如错误过多，或者批量访问）时告警 不影响用户体验时，敏感页面加上二次密码验证或者验证码 …… 总结 安全的问题最终是人的问题，你不重视，早晚有人来钻漏洞。一把锁总是可能被撬开的，但是如果你门都不锁，被别人偷了就不能怪锁不够牢靠。 安全防范并不是说要做到滴水不漏，而是尽可能增加对方的攻击成本。 总体来说，这本书还是从一定程度上开阔了我们对于web安全的眼界，知道怎么攻，才能更好的懂的怎么防。

本书写自13年，但其中的思路却仍然在延续，安全问题不可忽视，很多时候，攻击都是在悄悄进行的，涉及一个巨大的地下链，你的个人信息在不知不觉的情况就可能被发送到了黑客手里，甚至可以通过你，散播更多病毒，完成Web蠕虫的扩散，危害再大一点甚至能渗透到操作系统，不可想象，很多历史事件应该让我们重视。看到XSS攻击时，我也在自己的网站测试了一下，发现存在很多XSS和CSRF漏洞可攻击。本书从分别从攻防两个角度，详细介绍漏洞原理及实现方式，作为Web开发人员，我们更有义务做好防护，书中的攻击方式或许已经过时，现在的厂商应该对这些攻击做了防御，但攻击的思想原理不会变，以后肯定会有更多形式的攻击存在，我们应该随时关注系统的安全问题。

如果你像我一样希望改进前端安全，那这本书并没有系统的甚至建设性的意见；如果你是一个菜鸟工具狂，那你最好还是先学如何用溢出工具或者漏洞扫描攻陷服务器端。 整体看完让人感觉很不舒服，可能是因为我存在技术上的洁癖和道德感，纯粹主观情绪分。 任何技术都没有善恶之分，但是程序员有。请做一个真正意义的hacker，不要在技术的自由世界里膨胀。

可能是我更喜欢余弦的原因吧，，看书的时候感觉就像是，，，就像是在跟余弦面对面交流，，大神就是大神，，虽然是13年的书，，但，强烈推荐！

虽然前端更新迭代很快，但是围绕前端的安全问题却一直存在，虽然本书中代码可能有些陈旧，但是思想和理论及事例绝对具有很高的指导和实践意义。        比起后端直接控制服务器的危害来说，很多厂商都觉得前端安全问题不值得一提，但是这种小问题累计起来消费掉的是用户的信任。        而且，前端安全问题很有可能为一些严重的安全问题提供直接的便利条件。所以在当今这个互联网高速发展的时代，前端安全问题仍旧需要得到高度重视。

3.5星 案例数量适中，有作者自己的见解，实战性高，建议有一定html,css,javascript，框架基础的看，另外可以用webhacking101辅助学习

对于我这种没什么技术的门外汉讲，还是能够借这本书泛泛了解一下相关的技术的。至于写的好不好以及更深层次的东西，因为还不怎么了解相关技术操作，也看不出来什么。只能等以后懂得多了，回看复习后才能再追加评论吧。网络安全这方面，实践上手是重中之中。最后吐槽一句，背后的那么多知识，真是要头秃！

读这本书的感觉就是，我们圈有点乱，浏览网页没事不要乱点、乱摸。 再有就是对自己写的页面产生了深深的担忧……

书上XSS平台的github一打开就看到最后一次提交时间是8年前，不得不感叹安全的飞速发展。师傅们真������比