一、XSS 攻擊的概念與原理
XSS 即跨站腳本攻擊，是腳本注入式攻擊，惡意代碼注入網(wǎng)頁，瀏覽器無法分辨而執(zhí)行，引發(fā)潛在風(fēng)險(xiǎn)。其本質(zhì)是惡意代碼未過濾與正常代碼混一起，瀏覽器無法分辨導(dǎo)致惡意腳本被執(zhí)行。攻擊分持久型和非持久型，根據(jù)數(shù)據(jù)流向分反射型、存儲(chǔ)型、DOM Based XSS 三種攻擊類型。
1. 反射型 XSS 攻擊
反射型數(shù)據(jù)流向是瀏覽器—后端—瀏覽器，如登錄界面輸入錯(cuò)誤會(huì)打印登錄失敗。以登錄頁面為例，在 login.jsp 和 fail.jsp 演示中，輸入攻擊代碼會(huì)彈出攻擊彈窗。存儲(chǔ)型 XSS 攻擊數(shù)據(jù)流向是瀏覽器—后端—數(shù)據(jù)庫—后端—瀏覽器，攻擊者將代碼寫入數(shù)據(jù)庫，用戶瀏覽含攻擊代碼的頁面時(shí)會(huì)被攻擊，如報(bào)銷單備注輸入攻擊代碼，審核者瀏覽時(shí)會(huì)被攻擊。

3. DOM Based XSS（基于 dom 的跨站點(diǎn)腳本攻擊）
DOM-XSS 數(shù)據(jù)流向?yàn)?URL——>瀏覽器。xss.php：能打印這個(gè)，可打印 cookie，該攻擊并非無用。
二、XSS 攻擊的種類
（一）持續(xù)型 XSS 攻擊，惡意腳本存于網(wǎng)站數(shù)據(jù)庫，用戶訪問時(shí)可能彈出攻擊者預(yù)設(shè)彈窗等惡意效果，影響范圍大。（二）反射型 XSS 攻擊，惡意腳本來自受害者請(qǐng)求，誘導(dǎo)用戶點(diǎn)開帶攻擊的鏈接，頁面返回惡意文本后執(zhí)行惡意代碼彈窗。（三）基于 DOM 的 XSS 攻擊是反射型變種，服務(wù)器返回頁面正常，但執(zhí)行 js 時(shí)植入攻擊代碼，彈窗顯示惡意內(nèi)容，服務(wù)器難檢測攻擊危險(xiǎn)。
三、XSS 攻擊的危害
XSS 攻擊會(huì)給企業(yè)帶來安全風(fēng)險(xiǎn)。攻擊者可利用多種方式獲取用戶 cookie，如存儲(chǔ)型、反射型、基于 DOM 的 XSS 攻擊。拿到 cookie 后，攻擊者可提取敏感信息、插入假登陸框欺騙用戶提交敏感信息，還能進(jìn)行進(jìn)一步攻擊，如冒充用戶登錄、非法轉(zhuǎn)賬等，這會(huì)給用戶帶來損失，也影響企業(yè)信譽(yù)。
四、XSS 攻擊的防范措施

（一）編碼可轉(zhuǎn)義用戶輸入為數(shù)據(jù)，但不適用于用戶自定義頁面代碼情況?？蛻舳擞?JavaScript 編碼用戶輸入有弊端，惡意文本可能插入。（二）校驗(yàn)可過濾用戶輸入去除惡意部分，有黑名單和白名單方式，白名單更長效。防范 XSS 攻擊可服務(wù)器端過濾或編碼輸入腳本信息、利用 CSP 策略、設(shè)置 HttpOnly，還可使用第三方庫如 js-xss。
五、總結(jié)
企業(yè)做網(wǎng)站建設(shè)基于 JSP 編碼時(shí)需重視防范前端頁面 XSS 攻擊，可采取編碼、校驗(yàn)、利用 CSP 等策略、設(shè)置 HttpOnly、使用第三方庫等措施提高安全性。實(shí)際開發(fā)中應(yīng)加強(qiáng)對(duì)用戶輸入的驗(yàn)證過濾，避免惡意腳本注入，定期進(jìn)行安全檢測，及時(shí)修復(fù)漏洞以確保用戶數(shù)據(jù)和網(wǎng)站安全。