网络安全
Web 安全基础
1. HTML 转义（服务端渲染必须）： 2. CSP（Content Security Policy）： 3. HttpOnly Cookie：防止 JS 读取会话 Cookie： 4. 前端框架防护： 攻击者在第三方网站构造一个表单，诱导已登录用户提交，浏览器会自动携带目标站的 Cookie。 触发条件： 1. 用户已登录目标网站（Cookie 有效） 2. 目标 API 仅凭 Cookie 识别用户身份 3. 请求来源未验证 1. CSRF Token（推荐）： 2. SameSite Cookie： 3. 验证 Origin/Referer 头：