前端安全笔记

1. 常见问题

  • XSS（跨站脚本）
  • CSRF（跨站请求伪造）
  • 本地存储敏感数据泄露

2. 防护策略

  1. XSS 防护
  • 输出编码（v-html 警惕）
    1
    2
    const div = document.createElement('div');
    div.textContent = userInput; // 安全输出
  1. CSRF 防护
  • 使用 token 验证请求来源
  • SameSite Cookie 设置
  1. 敏感信息保护
  • 不在 localStorage / sessionStorage 存储敏感信息
  • 使用 HttpOnly Cookie