安全
深耕开发安全场景，解答漏洞排查、攻防实战与合规落地中的各类安全疑问。
-
2
回答
96浏览
CORS配置能防御CSRF攻击吗？应该如何正确设置？
我在用Spring Boot配置CORS时发现，设置了allowedOrigins为可信域名，但测试时用其他域名发起带token的POST请求居然成功了，这不还是存在CSRF漏洞吗？ 后端配置是这样写...
-
2
回答
39浏览
React组件直接渲染URL参数时如何防范DOM型XSS攻击？
我在做搜索功能时遇到个问题，用户输入的搜索词会通过URL参数保存，然后用React组件显示出来。但测试时发现如果在地址栏输入类似search?query=<script>alert(1)&...
-
1
回答
132浏览
前端应急响应时如何快速定位XSS漏洞的攻击入口？
最近在处理一个紧急安全事件，发现有人利用表单提交功能注入了XSS脚本。我们用了OWASP ZAP扫描，但始终找不到具体漏洞点。前端代码里有个动态渲染的评论区，像这样： <div id="comm...
-
1
回答
82浏览
为什么Vue的POST请求触发OPTIONS预检却报403禁止访问？
我在Vue项目里用axios发POST请求给后端接口，控制台突然跳出CORS错误，显示OPTIONS请求返回了403。明明之前GET请求没问题啊，搞不懂为啥这次要先发OPTIONS？ 代码就是简单的表...
-
2
回答
58浏览
frame-buster代码被绕过的具体原因是什么？
在项目里用了常见的frame-busting代码，但测试时发现还是能被嵌套到iframe里。明明加了self !== top && top.location.href = self.l...
-
2
回答
22浏览
WAF配置后还是能绕过SQL注入？预编译查询没用？
我给API加了预编译查询和WAF规则，但测试时发现用OR 1=1 UNION SELECT这种payload还是能获取数据库表名。WAF规则用了黑名单过滤了单引号和分号，但用户输入“%df%”时居然返...
-
1
回答
61浏览
PBKDF2在前端实现时，如何避免直接暴露salt值？
最近在做用户注册功能时，想用PBKDF2加密密码。我用crypto-js库写了这样的代码： <form onsubmit="hashPassword()"> <i...
-
2
回答
32浏览
JavaScript Fuzzing测试时如何避免内存泄漏？
我在用Fuzzing测试一个解析JSON的函数，用json-faker生成随机数据时，发现内存占用持续飙升。尝试给生成器加了maxLength: 1000限制，但测试到第500次迭代时还是报Out o...
-
2
回答
22浏览
React组件直接渲染用户输入导致XSS漏洞，修复后为何仍被漏洞赏金计划标记？
我在处理用户评论展示功能时，直接用dangerouslySetInnerHTML渲染了后端返回的内容，后来在漏洞赏金测试中被指出存在XSS漏洞。 虽然我已经改用DOMPurify清理内容，但测试时还是...
-
2
回答
68浏览
设置了X-XSS-Protection头还是被Chrome提示XSS防护已禁用？
最近在配置安全头的时候发现了个怪事，明明在Express里设置了X-XSS-Protection: 1; mode=block，但Chrome控制台还是弹出“XSS 防护已禁用”的警告，这是怎么回事啊...
-
1
回答
48浏览
为什么SameSite=Strict没阻止跨域请求带Cookie？
我在前端调用其他域名的API时，明明设置了SameSite=Strict和Secure，但浏览器还是自动带上Cookie了。后端用PHP设置的响应头是这样的： header("Set-Cookie: ...
-
2
回答
58浏览
前端如何验证URL参数防止XSS注入？
我在开发用户资料页面时遇到问题，用户通过URL参数传递nickName，但发现有人传入<script>alert(1)</script>导致页面被注入。我试过用正则匹配过滤标签...
-
2
回答
43浏览
Vue按钮权限控制为什么会出现显示但不可用的情况？
大家好，我在做用户角色权限控制时遇到个奇怪的问题。页面上有两个按钮，管理员能编辑和删除，普通用户只能看列表。我用v-if根据角色显示按钮，但测试时发现普通用户偶尔能看到删除按钮但点不了，这是怎么回事呢...
-
2
回答
35浏览
前端如何在日志匿名化IP时保留用户行为关联性？
我在做用户行为日志记录时，需要把用户IP进行匿名化处理。但直接截断最后两位的话，像192.168.1.123变成192.168.1.xxx，这样不同时间的同一IP请求会被混淆成同一个匿名ID。如果用哈...
-
2
回答
74浏览
W3af扫描React表单时没发现CSRF漏洞，但手动测试存在缺陷
我在用W3af扫描公司新开发的React应用时，发现所有表单请求都没有检测到CSRF漏洞，但手动测试时明显能用跨站请求伪造数据。代码里确实没做CSRF令牌验证，这是为什么啊？ 比如这个用户资料更新组件...
-
2
回答
51浏览
React项目SCA扫描提示lodash过期，升级后组件报错怎么办？
刚用sca扫描工具发现项目用的lodash是4.17.20，存在高危漏洞必须升级。我执行npm install lodash@latest后，页面渲染直接报错： // 组件里这样引用的 import ...
-
2
回答
44浏览
Double Submit Cookie的token怎么同时放在cookie和请求头里？
我在用Vue和Express实现Double Submit Cookie防护，但一直报错。后端设置的cookie是Secure和HttpOnly的，前端用document.cookie拿不到值。尝试在...
-
2
回答
29浏览
Vue项目中如何防止Cookie被劫持导致会话劫持？
我在用Vue做登录功能时发现，用js-cookie保存token的Cookie没设置HttpOnly，这样会不会容易被XSS攻击导致Session劫持？ // 登录成功后设置Cookie的代码 met...
-
1
回答
63浏览
子域名间CORS配置为什么还是被拦截？
我在做子域名间的数据交互时遇到了CORS问题。主域名是example.com，后端接口在api.example.com，前端在www.example.com发起请求。按照教程设置了Access-Con...
-
2
回答
48浏览
前端构建时集成SAST工具总是报错怎么办？
在Webpack项目里尝试用ESLint插件集成SAST工具做静态扫描，配置了eslint-plugin-security后，构建时提示Cannot read properties of undefi...
