什么是XSS攻击

XSS攻击（Cross-sitescripting）,中文名为跨站脚本攻击，简称为XSS，指代码注入用户网页端（浏览器、客户端）的一种攻击方式。攻击者在网页上注入恶意脚本，当用户访问该网页时，脚本会被执行，从而达到攻击者各种目的的结果。攻击者利用开发人员对于输入内容未做必要的转义和过滤处理的情况下，注入恶意脚本。XSS攻击可以使攻击者窃取用户敏感信息，修改用户数据，甚至造成用户计算机受到恶意控制。因此，XSS攻击是网站安全攻击的一种非常重要的方式之一。

XSS攻击获cookie实例说明

攻击者常常利用XSS攻击获取受害者的cookie信息。例如，受害者在站点A登录之后，并在本地保存了cookie信息。攻击者通过在站点A的一个表单中嵌入恶意脚本，在用户读取并执行该脚本后，可以成功地将获得该用户的cookie信息。攻击者可以使用获取到的cookie进行各种盗窃或恶意操作，包括篡改用户资料，盗取用户私密信息等。

防范XSS攻击获cookie的方法

1.输入过滤

开发人员应该对用户输入进行过滤，过滤掉HTML、JavaScript等有安全风险的内容，以保证用户输入的安全性。例如，可以使用内置函数对用户输入做字符串转义，过滤掉“<”、“>”、“&”等特殊字符，从而防止用户输入内容被执行。开发人员可以使用各种字符串处理函数和第三方组件来完成输入过滤。

2.输出转义

开发人员应该对用户输入输出的内容做必要的转义，以保证输出内容的安全性。例如，可以使用htmlentities()函数对输出内容中的特殊字符进行HTML实体转义，从而避免执行恶意脚本。

3.Cookie的HttpOnly属性

在设置cookie时，可以为其加上“HttpOnly”属性，此方式增加了cookie的安全性，即防止cookie被脚本读取。这是因为如果服务器在发送cookie时，通过设置HttpOnly属性，Web浏览器将隐藏cookie，因此，即使某些脚本被注入网页，也不能读取该cookie，从而保证了数据的安全性。使用HttpOnly属性的设置方法如下：

<?phpsetcookie(cookieName,cookieValue,time()+3600,/,,0,1);?>

4.CSP（ContentSecurityPolicy）

ContentSecurityPolicy是一种用于加强Web安全性的标准，可以用于控制Web页面加载恶意攻击载荷（如XSS、clickjacking等）。应用程序开发人员可以通过为其应用程序设置CSP标头来防止XSS攻击的发生。通过在HTTP消息头中配置CSP,可以显式地白名单来自哪些源的资产（如脚本、CSS、图片等）是可以信任并执行的。

5.禁用JavaScript脚本执行

在页面中禁用JavaScript脚本执行也可以起到预防XSS攻击的作用。例如，可以使用“

6.输入自动转义

开发人员可以使用第三方框架或编程语言，来自动过滤或转义输入内容。例如，使用HTMLPurifier，可以过滤HTML标签和JavaScript脚本，保证用户输入的文本安全。

7.使用HTTPS和HTTPOnlyCookie

HTTPS协议使通信的内容无法被恶意截获，从而保证数据传输的安全性。如果站点使用HTTP协议，则会有中间人攻击的风险，而使用HTTPS协议则能够有效避免此类问题。同时，还可以在Cookie中设置HttpOnly属性，确保cookie不能被脚本在客户端读取。使用https和HttpOnly应该充分考虑其成本、部署难度等问题。