<?xml version="1.0" encoding="utf-8"?>
<rss version="2.0">
  <channel>
    <title>商会资讯 - web_security</title>
    <link>http://www.smellage.com/forum-65-1.html</link>
    <description>Latest 20 threads of web_security</description>
    <copyright>Copyright(C) 商会资讯</copyright>
    <generator>Discuz! Board by Comsenz Inc.</generator>
    <lastBuildDate>Thu, 30 Apr 2026 14:22:37 +0000</lastBuildDate>
    <ttl>60</ttl>
    <image>
      <url>http://www.smellage.com/static/image/common/logo_88_31.gif</url>
      <title>商会资讯</title>
      <link>http://www.smellage.com/</link>
    </image>
    <item>
      <title>PHP防csrf攻击</title>
      <link>http://www.smellage.com/thread-86-1-1.html</link>
      <description><![CDATA[由于用户可能会从其他途径POST过来，因此我们需要防止这种情况

原理：在页面生成一个随即串并保存在token中，用于在服务器中比对

index.php 与 temp.php  两个页面示范

index.php 页面：
 view plain copy 


[*]  
[*]  
[*]  
[*]    测试：  
[*]     ...]]></description>
      <category>web_security</category>
      <author>admin</author>
      <pubDate>Sat, 09 Dec 2017 02:54:57 +0000</pubDate>
    </item>
    <item>
      <title>漏洞：Password type input with auto-complete enabled</title>
      <link>http://www.smellage.com/thread-85-1-1.html</link>
      <description><![CDATA[原因：在DHTML里面，假如INPUT标签没有指定“autocomplete”属性为off，
则自动默认为on，致使当input type=password 时会自动匹配，
这样用户的密码会被存储在计算机内，导致不安全的因素
 修改：所有的 INPUT的标签手工加入 autocomplete=off    
 ...]]></description>
      <category>web_security</category>
      <author>admin</author>
      <pubDate>Sat, 09 Dec 2017 02:21:49 +0000</pubDate>
    </item>
    <item>
      <title>点击劫持漏洞解决（ Clickjacking: X-Frame-Options header missing）</title>
      <link>http://www.smellage.com/thread-84-1-1.html</link>
      <description><![CDATA[点击劫持漏洞　　X-Frame-Options HTTP 响应头， 可以指示浏览器是否应该加载一个 iframe 中的页面。 网站可以通过设置 X-Frame-Options 阻止站点内的页面被其他页面嵌入从而防止点击劫持
方法一：常见的比如使用js，判断顶层窗口跳转：



一般这样够用了，但是有一次 ...]]></description>
      <category>web_security</category>
      <author>admin</author>
      <pubDate>Sat, 09 Dec 2017 02:12:21 +0000</pubDate>
    </item>
    <item>
      <title>Session Cookie without Secure flag set 解决方法</title>
      <link>http://www.smellage.com/thread-83-1-1.html</link>
      <description><![CDATA[Session数据保存在服务器端, 但是每一个客户端都需要保存一个SessionID, SessionID保存在Cookies中, 关闭浏览器时过期.
在向服务器发送的HTTP请求中会包含SessionID, 服务器端根据SessionID获取获取此用户的Session信息.
cookie 
 意思是:httponly设置为true则只能通过h ...]]></description>
      <category>web_security</category>
      <author>admin</author>
      <pubDate>Sat, 09 Dec 2017 02:08:22 +0000</pubDate>
    </item>
  </channel>
</rss>