Web框架安全

模板引擎与XSS防御

XSS攻击是在用户的浏览器上执行的，其形成过程则是在服务器端页面渲染时，注入了恶意的HTML代码导致的。从MVC架构来说，是发生在View层，因此使用“输出编码”的防御方法更加合理，这意味着需要针对不同上下文的XSS攻击场景，使用不同的编码方式。

“输出编码”的防御方法有以下几种：

• 在HTML标签中输出变量
• 在HTML属性中输出变量
• 在script标签中输出变量
• 在事件中输出变量
• 在CSS中输出变量
• 在URL中输出变量

针对不同的情况，使用不同的编码函数。那么现在流行的MVC框架是否符合这样的设计呢？答案是否定的。

在当前流行的MVC框架中，View层常用的技术是使用模板引擎对页面进行渲染，模板引擎本身可能会提供一些编码方法，比如，Django Templetes中，使用filters中的escape作为HtmlEncode的方法：

<h1>Hello, {
  
  {name|escape}}!</h1>

最好的XSS防御方案，在不同的场景需要使用不同的编码函数，如果统一使用者5个字符的HtmlEncode，则很有可能被攻击者绕过。在模板引擎中，可以实现自定义的编码函数，应用于不同场景。在Django中是使用自定义filters，在Velocity中则可以使用“宏”（velocimacro)。

Web框架与CSRF防御

CSRF攻击的目标，一般都会产生“写数据”操作的URL，比如“增”、“删”、“改”；而“读数据”操作并不是CSRF攻击的目标，因为在CSRF的攻击过程中攻击者无法获取到服务器端返回的数据，攻击者只是借用用户之手触发服务器动作，所以读取数据对于CSRF来说并无直接的意义。

因此，在Web应用开发中，有必要对“读操作”和“写操作”予以区分，比如要求所有“写操作”都使用HTTP POST