前端安全
本话题发布前端安全相关的问答文章和技术分享，将持续更新，为您推荐了12篇问答，访问即可查看更多精彩内容。
-
1
回答
5浏览
React组件直接渲染URL参数时如何防范DOM型XSS攻击？
我在做搜索功能时遇到个问题，用户输入的搜索词会通过URL参数保存，然后用React组件显示出来。但测试时发现如果在地址栏输入类似search?query=<script>alert(1)&...
-
1
回答
15浏览
启用HTTPS后CSS样式加载失败怎么办？
我最近给项目配置了HTTPS，但页面样式突然全乱了。检查发现CSS文件加载失败，控制台提示“Mixed Content错误”。我用了绝对路径引用CSS： /* style.css */ body { ...
-
1
回答
11浏览
Double Submit Cookie的token怎么同时放在cookie和请求头里？
我在用Vue和Express实现Double Submit Cookie防护，但一直报错。后端设置的cookie是Secure和HttpOnly的，前端用document.cookie拿不到值。尝试在...
-
2
回答
31浏览
SameSite=Lax设置后，跨域请求携带Cookie失效怎么办？
我在项目中设置了Cookie的SameSite=Lax和Secure属性，但跨域请求到第三方支付接口时，Cookie没有被携带，导致登录失效。后端返回的Set-Cookie头看起来没问题，前端请求也用...
-
1
回答
13浏览
React表单提交如何防止CSRF攻击？隐藏字段没生效？
在React项目里做订单取消功能，用隐藏字段传CSRF令牌，但提交时后端返回403错误。代码是这样写的： function CancelOrderForm() { const [csrfToken, ...
-
1
回答
17浏览
前端用JWT时，如何防止Token被XSS攻击窃取？
我在项目里用localStorage存JWT token，但同事说这样容易被XSS攻击，我试过把token加密存进去，但后端验证时解密失败了。现在改成用httpOnly的cookie，但axios发请...
-
2
回答
109浏览
CSRF防护中，如何安全地刷新验证Token而不暴露在URL中？
最近在做CSRF防护时遇到个难题，我用了隐藏字段+请求头双验证的方案。但用户长时间在线后，原来的Token过期导致部分AJAX请求开始报403错误。 尝试过在每次请求前手动调用API刷新Token，但...
-
2
回答
44浏览
JWT刷新时旧token未及时回收导致重复登录怎么解决？
我在用JWT做登录鉴权时遇到个问题，用户在A设备刷新token后，旧token居然还能在B设备正常登录，这样用户明明退出了怎么还会被绕过？ 我的实现逻辑是这样的：用户登录成功后存储token到loca...
-
1
回答
81浏览
Vue表单提交怎么防CSRF？我的CSRF-Token没生效
大家好，我在做一个Vue项目的时候遇到个问题。按照教程设置了CSRF令牌，但测试发现表单提交还是被拦截了。代码是这样的： <template> <form @submit.preve...
-
2
回答
42浏览
SameSite=None; Secure设置后，为什么移动端浏览器还是无法获取Cookie？
最近在配置SameSite属性时遇到怪事，后端按文档设置了SameSite=None; Secure，PC端Chrome能正常获取到登录态的Cookie，但测试微信内置浏览器和安卓原生浏览器时，请求头...
-
2
回答
40浏览
CSRF防护中，如何在不刷新页面的情况下安全更新CSRF Token？
在做单页应用时遇到了CSRF Token过期问题。前端用axios拦截器在请求头带上token，但用户长时间登录后，后端会返回403要求更新token。我尝试在响应拦截器里检测403错误后，通过/re...
-
2
回答
25浏览
如何防范事件属性中的XSS漏洞？比如onclick里被注入脚本？
最近在做用户评论功能时，允许用户自定义事件属性（比如onclick），但测试时发现如果输入"onclick=alert(1)"会被直接执行。我尝试过滤了常见的事件属性名，但测试人员用"onCLick"...
