XSS是什么？XSS攻击与防御

XSS从字面以上上理解，其指的是跨站脚本，是一种常见的网络攻击方式。正如其名称所述，其通过利用Web站点的代码审核漏洞，将带有逻辑性质的能够被服务器执行的脚本代码，通过网页输入端口传输到后端服务器上。
一旦服务器未能有效的截取这段代码，就会导致脚本代码的恶意执行，从而被黑客获取用户信息或做出一些强迫性的网页响应事件。
由于XSS是通过正常的网页带参请求进行脚本嵌入的，所以其攻击方式非常隐蔽，攻击成本较低，同时其危害也较大。正是由于以上特点，加之现有的各类Web网页编写弱点也不一致，黑客可以很灵活的编写不同的注入脚本程序，这为漏洞防御带来了新的困难。
目前主要的XSS漏洞防御策略及发展趋势如下：
1. 特征匹配
这种防御策略主要是通过检测输入数据中的关键字，例如“JavaScript”，一般的网页脚本执行的都是JavaScript代码。但是这种方式比较僵硬，有些正常的含有对应关键字的数据也会被截取。
2. 规范代码标准
这种防御策略主要从web网页编码规范的角度出发，由于不同开发者开发的网页存在部分编码差异，可能存在潜在的漏洞。通过制定一套业内标准，优化web应用，此举能减少相关漏洞的产生。
3. 使用端层防御策略
这种策略主要从浏览器的角度出发，通过收集XSS信息数据库、由用户决定是否执行服务器返回的信息内容等方式进行防范。