甚么是XSS攻击？
XSS（Cross-SiteScripting）跨站脚本攻击，指攻击者利用Web利用程序对用户的输入数据未过滤、转码等不严谨处理，从而向Web页面注入歹意脚本，使得页面运行时履行歹意脚本，从而盗取用户信息或利用用户漏洞。XSS攻击是互联网安全的一大困难，常出现在Web利用程序页面的输入框、评论区、富文本编辑器等可输入的位置。
JWT（JSONWebToken）是甚么？
JSONWebToken是目前最流行的跨域认证解决方案。在web开发中，跨域资源同享（CORS）是一种不受欢迎的安全障碍，特别是当你需要管理跨域要求时。JWT是一个极好的解决方案，JWT只需要简单的在用户与客户端之间交换信息，不需要cookie或其他的协议，而且签署的token使用了公钥/私钥对的数字签名（不需要向数据库发起查询），客户端将会被授权访问受保护的资源。
JWT在防范XSS攻击时的优势
JWT中的信息是通过封装在token中进行传递，这意味着除JWT的服务器外，其他任何人没有机会读取里面的信息。即便攻击者可以在客户真个浏览器上履行其XSS歹意脚本，也没法盗取JWT中包括的敏感信息，由于该信息被加密在JWT签名中。
怎样使用JWT防范XSS攻击？
下面是使用JWT防范XSS攻击的方法：
- 进行输入过滤：在用户向服务器发送数据之前，应当进行必要的输入过滤操作。这些过滤操作包括移除破坏数据、转义用户输入、限制输入您不希望接收的字符。过滤出来的数据即用于生成JWT。
- 进行输出过滤：对用户的输出数据也要进行过滤，以避免反射型XSS。输出过滤即便对输出到浏览器真个数据进行检查、转义，以消除过失和重复的样式，并避免在用户的浏览器中以反射XSS的情势出现。
- 使用设置好的CORS策略：对JWT，CORS是非常重要的，它能够限制在客户端中运行的代码和能够向服务器发送要求的源。使用设置好的CORS策略，能够让浏览器遵守网站所实现的安全功能，从而在尽量的情况下避免XSS攻击。
结论
XSS攻击是Web利用开发中常见的安全漏洞，可以借助输入过滤、输出过滤和使用ITW防范。JWT中的信息是通过加密存储在传递的token中，相对其他传统的跨域认证方式，JWT更加安全，能够有效地防御XSS攻击，减少Web利用中的安全风险。
桂>哥>网>络www.guIgege.cn
