"蒋宇捷在SDCC2012上分享了关于HTML5安全的经验,强调随着HTML5应用的增加,应警惕可能出现的攻击,如新标签攻击、WebSQL攻击、CORS攻击等。" HTML5作为下一代网页标准,引入了许多新特性,同时也带来了新的安全风险。蒋宇捷在演讲中详细探讨了这些风险,并提出了相应的防御策略。 1. **新标签攻击**: HTML5引入的新标签如Audio、Video、Canvas、Article、Footer等,增加了网页的交互性和动态性,但也带来了安全问题。攻击者可能利用新标签的属性(如poster、autofocus、formaction、oninput等)进行脚本注入,例如通过`<video poster=”javascript:alert(1)”>`或`<input autofocus onfocus=“alert(1)”>`等手段执行恶意代码。防御方法包括对输入进行严格的过滤和检查,避免使用黑名单Tags,并确保所有事件处理程序的安全性。 2. **WebSQL攻击**: WebSQL数据库提供了本地存储能力,但同时也可能遭受SQL注入攻击。攻击者可以尝试探测数据库结构,执行恶意SQL语句,泄露或篡改数据。为了防止这类攻击,开发者应检查输入类型,过滤潜在的危险字符,使用参数化查询,避免存储敏感信息。例如,将`executeSql("SELECT name FROM stud WHERE id=" + input_id)`改为`executeSql("SELECT name FROM stud WHERE id=?",[input_id])`。 3. **CORS(Cross-Origin Resource Sharing)攻击**: CORS允许跨域资源共享,打破了同源策略(SOP),但也可能导致HTTP头不可信、第三方站点被入侵、恶意跨域请求等问题。攻击者可能利用CORS进行内部信息泄漏或针对用户发起攻击。为了防御,开发者需要谨慎对待未经验证的跨域请求,要求请求方验证接收数据的有效性,服务端只暴露必要的最小功能。 除此之外,蒋宇捷还提到了其他攻击方式,如Web Storage攻击、Web Worker攻击、ClickJacking和CookieJacking,以及Web Socket攻击和API攻击,这些都需要开发者采取相应的安全措施来保护应用程序。例如,对于Web Storage,应限制存储的敏感信息量,使用HttpOnly Cookie防止Cookie劫持,而对于Web Socket,应实施严格的访问控制和数据验证。 HTML5的安全性是多方面的,开发者需要时刻保持警惕,及时更新安全策略,以应对不断演变的攻击手段。通过合理的输入验证、数据加密、权限控制等手段,可以有效地降低HTML5应用的安全风险。
![zip](https://img-home.csdnimg.cn/images/20210720083736.png)
![](https://csdnimg.cn/download_wenku/file_type_ask_c1.png)
![zip](https://img-home.csdnimg.cn/images/20210720083736.png)
![zip](https://img-home.csdnimg.cn/images/20210720083736.png)
![rar](https://img-home.csdnimg.cn/images/20210720083606.png)
![zip](https://img-home.csdnimg.cn/images/20210720083736.png)
![zip](https://img-home.csdnimg.cn/images/20210720083736.png)
![zip](https://img-home.csdnimg.cn/images/20210720083736.png)
![zip](https://img-home.csdnimg.cn/images/20210720083736.png)
![zip](https://img-home.csdnimg.cn/images/20210720083736.png)
![zip](https://img-home.csdnimg.cn/images/20210720083736.png)
![](https://profile-avatar.csdnimg.cn/default.jpg!1)
- 粉丝: 28
- 资源: 167
我的内容管理 展开
我的资源 快来上传第一个资源
我的收益
登录查看自己的收益我的积分 登录查看自己的积分
我的C币 登录后查看C币余额
我的收藏
我的下载
下载帮助
![](https://csdnimg.cn/release/wenkucmsfe/public/img/voice.245cc511.png)
最新资源
- 计算机人脸表情动画技术发展综述
- 关系数据库的关键字搜索技术综述:模型、架构与未来趋势
- 迭代自适应逆滤波在语音情感识别中的应用
- 概念知识树在旅游领域智能分析中的应用
- 构建is-a层次与OWL本体集成:理论与算法
- 基于语义元的相似度计算方法研究:改进与有效性验证
- 网格梯度多密度聚类算法:去噪与高效聚类
- 网格服务工作流动态调度算法PGSWA研究
- 突发事件连锁反应网络模型与应急预警分析
- BA网络上的病毒营销与网站推广仿真研究
- 离散HSMM故障预测模型:有效提升系统状态预测
- 煤矿安全评价:信息融合与可拓理论的应用
- 多维度Petri网工作流模型MD_WFN:统一建模与应用研究
- 面向过程追踪的知识安全描述方法
- 基于收益的软件过程资源调度优化策略
- 多核环境下基于数据流Java的Web服务器优化实现提升性能
![](https://img-home.csdnimg.cn/images/20220527035711.png)
![](https://img-home.csdnimg.cn/images/20220527035111.png)
![](https://csdnimg.cn/release/wenkucmsfe/public/img/green-success.6a4acb44.png)