补充知识：Django 前后端分离跨域AJAX获取csrftoken及获取cookie时遇到的问题
作者： EtherDream www.cnblogs.com/index-html/p/anti_xss_worm.html 前言 XSS 自动点按钮有什么危害？ 在社交网络里，很多操作都是通过点击按钮发起的，例如发表留言。假如留言系统有 XSS，用户中招后除了基本攻击外，还能进行传播 —— XSS 自动填入留言内容，并模拟点击发表按钮，于是就能发布带有恶意代码的留言。好友看了中招后，又传播给他们的好友。。。从而形成蠕虫扩散。 那么有没有一种机制，让「发表留言」必须通过用户的「真实点击」按钮才能完成，而无
Izy发现，当我们通过第三方APP“快手”，将信息分享到微博时，信息内容就会造成一个XSS。当用户在ipad版微博客户端上查看这条微博的时候，即触发。我们这次的目的就是让这个存储型XSS变成蠕虫。
在一次漏洞挖掘过程中，我发现 callback=jsonp_xxx 或者 callback=jQuery_xxx 这类格式的URL存在 XSS 漏洞，当时没有自己研究具体是怎么回事
后台服务端没有对输入的参数进行过滤, 直接任选一个注入xss payload即可:
反爬虫常见套路 判断user-agent 校验referer头 校验cookie 同一IP访问次数限制 js/ajax动态渲染页面 反反爬虫应对策略 1、user-age
大致比较了一下，支持 API 上传的图床，国内基本是没有合适的了，国外的话稳定性最高的大概就是 Flickr 和 Imgur；因为 Flickr 有容量限制所以不予考虑。剩下的 Imgur 试了一下现在居然还能裸连！但是呢毕竟是外国的东西，国内访问速度受限不说，指不定哪天也被墙挡了；解决方法倒很简单，Nginx 反代一下就可以了。
我们可以通过window.origin或location.origin得到当前源。
-多年互联网运维工作经验，曾负责过大规模集群架构自动化运维管理工作。 -擅长Web集群架构与自动化运维，曾负责国内某大型金融公司运维工作。 -devops项目经理兼DBA。 -开发过一套自动化运维平台（功能如下）： 1)整合了各个公有云API，自主创建云主机。 2)ELK自动化收集日志功能。 3)Saltstack自动化运维统一配置管理工具。 4)Git、Jenkins自动化代码上线及自动化测试平台。 5)堡垒机，连接Linux、Windows平台及日志审计。 6)SQL执行及审批流程。 7)慢查询日志分析web界面。
之前学习爬虫的时候一直了解、学习的是基于PhantomJS的，虽然Chrome的headless更加优秀、比PhantomJS更快、占用内存更少，而且还有个强大的爸爸。但是也不能把之前的学的给荒废了，先实践下再说，况且这种东西大部分应该是都是互通的。
下文针对某些点，并结合之前的项目经历，简单列出几个解决方法供大家参考。
有些产品为了防止自己的产品被盗链访问，会采用反盗链措施，如封闭型生态的音乐网站和视频网站，他们已经为了版权付费，自然不希望你免费使用他们的资源。但因为很多人专门研究盗链，因此我们也需要了解下盗链、反盗链和逃避反盗链的原理。
在实习过程中接触过所谓的JSON Hijacking 漏洞，但最近在写论文时发现理解得不深，好像跟xss与csrf又有点区别与联系，索性深入学习了下JSONP（JSON with Padding）。
公众号爬取今日头条的那一期，不少小伙伴反应爬取下来的图片无法查看或者爬取不了，小詹也重新试了下，的确是的，写那篇推文的时候，头条还比较友好，没有添加反爬措施，大概是爬取的朋友太多，对其造成了极大的压力吧，添加了某些反爬技术，然而，上有政策，下有对策，粉丝群有小伙伴改写了程序并添加了反反爬策略进行了妹子的爬取~
如今“前后端分离”的设计思想已经非常普及，所以一旦静态资源和后台应用部署在不同服务器上并采用不同域名，那么，必然会遇到“浏览器同源策略”的限制，也必然，需要前后台一起合作解决跨域问题。
查看 IP 的方式：打开命令行输入 cmd，然后在端口中输入 ipconfig，可以看到 IP 地址
CSRF（Cross-site request forgery）跨站请求伪造：攻击者诱导受害者进入第三方网站，在第三方网站中，向被攻击网站发送跨站请求。利用受害者在被攻击网站已经获取的注册凭证，绕过后台的用户验证，达到冒充用户对被攻击的网站执行某项操作的目的。
有些时候我们使用浏览器查看页面正常显示的数据与使用requests抓取页面html得到的数据不一致，这是因为requests获取的是原始的HTML文档，而浏览器中的页面是经过JavaScript处理数据后的结果。这些处理过的数据可能是通过Ajax加载的，可能包含HTML文档中，可能经过特定算法计算后生成的。
本文包含的内容较多，包括AJAX，CORS，XSS，CSRF等内容，要完整的看完并理解需要付出一定的时间。
网上各种跨域教程，各种实践，各种问答，除了简单的 jsonp 以外，很多说 CORS 的都是行不通的，老是缺那么一两个关键的配置。本文只想解决问题，所有的代码经过亲自实践。
何为同源： 1.协议（http/https)相同 2.域名（IP）相同 3.端口相同
最近张老师忙着新一期学生的培训，有一段时间没给大家分享文章了，后面张老师尽量多抽一些时间保证更新。
在一开始,我打算将其他网站的图片放在自己的网站（http://localhost…）上显示.
CSRF（Cross-site request forgery）跨站请求伪造，也被称为“One Click Attack”或者Session Riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。尽管听起来像跨站脚本（XSS），但它与XSS非常不同，XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与XSS攻击相比，CSRF攻击往往不大流行（因此对其进行防范的资源也相当稀少）和难以防范，所以被认为比XSS更具危险性
我们的目标网站是这个http://awehome.com.cn，登录页面是这个http://awehome.com.cn/tenant/login
近来这两三个月，我陆续将自己学到的爬虫技术分享出来。以标准网络库 urllib 的用法起笔，接着介绍各种内容提供工具，再到后续的 scrapy 爬虫框架系列。我的爬虫分享之旅已经接近尾声了。本文就来聊聊如何防止爬虫被 ban 以及如何限制爬虫。
前后端完全分离的项目，前端使用Vue + axios，后端使用SpringMVC，容器为Tomcat。 使用CORS协议解决跨域访问数据限制的问题，但是发现客户端的Ajax请求不会自动带上服务器返回的Cookie：JSESSIONID。 导致每一个Ajax请求在服务端看来都是一个新的请求，都会在服务端创建新的Session（在响应消息头中设置Set-Cookie：JSESSIONID=xxx）。 而在项目中使用了Shiro框架，用户认证信息是放在Session中的，由于客户端不会把JSESSIONID返回给服务器端，因此使用Session策略存放数据的方式不可用。
爬虫与反爬虫，这相爱相杀的一对，简直可以写出一部壮观的斗争史。而在大数据时代，数据就是金钱，很多企业都为自己的网站运用了反爬虫机制，防止网页上的数据被爬虫爬走。然而，如果反爬机制过于严格，可能会误伤到
Cross-site request forgery（跨站请求伪造）：在b.com发起a.com的请求，会自动带上a.com的cookie，如果cookie中有敏感的票据，会有攻击者伪造用户发送请求的安全问题
其中，源=协议+主机+端口，**两个源相同，称之为同源，两个源不同，称之为跨源或跨域
传统爬虫从一个或若干初始网页的URL开始，获得初始网页上的URL，在抓取网页的过程中，不断从当前页面上抽取新的URL放入队列,直到满足系统的一定停止条件。聚焦爬虫的工作流程较为复杂，需要根据一定的网页分析算法过滤与主题无关的链接，保留有用的链接并将其放入等待抓取的URL队列。
原理 传统爬虫从一个或若干初始网页的URL开始，获得初始网页上的URL，在抓取网页的过程中，不断从当前页面上抽取新的URL放入队列,直到满足系统的一定停止条件。聚焦爬虫的工作流程较为复杂，需要根据一定的网页分析算法过滤与主题无关的链接，保留有用的链接并将其放入等待抓取的URL队列。 然后，它将根据一定的搜索策略从队列中选择下一步要抓取的网页URL，并重复上述过程，直到达到系统的某一条件时停止。另外，所有被爬虫抓取的网页将会被系统存贮，进行一定的分析、过滤，并建立索引，以便之后的查询和检索； 所以一个完整的
CSRF，也称 XSRF，即跨站请求伪造攻击，与 XSS 相似，但与 XSS 相比更难防范，是一种广泛存在于网站中的安全漏洞，经常与 XSS 一起配合攻击。
这里简单说使用域名绑定 IP，那么可以通过访问域名，DNS 拿到 IP 后访问到我们的服务，IP 有可能会变动，那么更改 IP 后，DNS 也会解析到最新的 IP，这就很方便了
说明：本文是接着上一篇微博的ajax分析法进一步说明一种特殊情况。 我们在上一篇文章爬虫课程（十二）｜ajax分析法（微博）：通过获取api爬取新浪微博内容数据实战中通过分析获取ajax方式请求的
csrf攻击(Cross-site request forgery):跨站请求伪造;
序 本文主要来聊一下nginx的access log当中出现的499问题。 问题描述 499 CLIENT CLOSED REQUEST A non-standard status code introduced by nginx for the case when a client closes the connection while nginx is processing the request. 原因 服务器返回http头之前，客户端就提前关闭了http连接，常见于后台接口处理时间比较长，而前端请求
首先，我们创建一个名为koa2的工程目录，然后使用VS Code打开。然后，我们创建app.js，输入以下代码：
前段时间遇到一个问题，就是我的个人网站需要接入第三方百度统计，因为我的文章图片有来自第三方微信后台上传的文章，所以使用<meta name="referrer" content="no-referrer">解决图片访问403的问题,但是此时这个导致我百度统计失效了，于是去查询了一下referrer这个特性。
后端请求 后端redirect重定向页面 使用form请求，ajax请求要单独设置跳转(ajax是页面局部刷新) 修改请求头部 w.Header().Set(“Access-Control-Allow-Origin”, “*”) w.Header().Set(“Access-Control-Allow-Headers”: “X-Requested-With,X_Requested_With,X-PINGOTHER,Content-Type”); w.Header().Set(“Access-Cont
此处的[domain]即要检测的域名（一级域名），[token]的获取稍后会提到。
不知道你们在用爬虫爬数据的时候是否有发现，越来越多的网站都有自己的反爬机制，抓取数据已经不像以前那么容易，目前常见的反爬机制主要有以下几种：
申明：本文是学习2014版ASP.Net视频教程的学习笔记，仅供本人复习之用，也没有发布到博客园首页。
今天北哥就给大家普及下csrf是啥？如果你已经知道了可以直接拉文章到底部点个赞。:smile:
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频
