一、HTTP安全概述
HTTP协议本身的明文传输和无状态特性，使其存在天然的安全隐患；而Web应用基于HTTP的开发漏洞，进一步放大了安全风险。常见的HTTP安全问题主要分为协议层漏洞和应用层漏洞两类，防护需从协议与开发两个维度入手。
二、HTTP常见安全漏洞与防护
1. 跨站脚本攻击（XSS）
- 原理：攻击者向Web页面注入恶意脚本（JS、HTML），当用户访问页面时，脚本在用户浏览器中执行，可窃取Cookie、伪造操作等。
- 分类：
- 存储型XSS：恶意脚本被存储在服务器数据库（如评论区、留言板），所有访问该页面的用户都会触发。
- 反射型XSS：恶意脚本通过URL参数传递，服务器直接反射回页面，仅针对特定访问者触发。
- DOM型XSS：恶意脚本通过修改页面DOM结构执行，无需服务器参与，完全在客户端触发。
- 防护措施：
- 输入过滤：对用户输入的内容进行转义（如将
<转义为<）、过滤危险标签/脚本。 - 输出编码：页面渲染时对数据进行编码，防止脚本执行。
- 开启CSP（内容安全策略）：限制页面加载的资源来源和脚本执行权限。
- 输入过滤：对用户输入的内容进行转义（如将
2. 跨站请求伪造（CSRF）
- 原理：攻击者诱导用户在已登录的情况下，点击恶意链接/访问恶意页面，利用用户的登录状态向目标服务器发送伪造的HTTP请求，完成非授权操作（如转账、改密码）。
- 防护措施：
- 验证Referer/Origin头：检查请求的来源域名，仅允许可信域名的请求。
- 添加CSRF Token：服务器为每个会话生成唯一Token，请求时携带Token，服务器验证Token有效性。
- 设置SameSite Cookie：限制Cookie的跨域发送（SameSite=Strict/Lax）。
3. HTTP劫持与中间人攻击
- 原理：中间人攻击（MITM）中，攻击者拦截客户端与服务器的HTTP通信，篡改/窃取数据（如篡改页面内容、窃取登录信息）；HTTP劫持常发生在公共WiFi、运营商网络中。
- 防护措施：
- 全站使用HTTPS：通过SSL/TLS加密传输，防止数据被窃听、篡改。
- 开启证书验证：客户端验证服务器证书的合法性，避免连接到伪造的恶意服务器。
4. 密码明文传输与弱认证
- 问题：部分Web应用在登录时通过HTTP明文传输密码，或采用简单的密码加密方式（如Base64），易被窃取破解；同时存在弱密码、无验证码等认证漏洞。
- 防护措施：
- 密码传输：使用HTTPS加密，且密码需通过哈希算法（如BCrypt、SHA-256）加盐后存储在服务器。
- 加强认证：设置复杂密码规则、添加短信/图形验证码、开启双因素认证（2FA）。
三、HTTP安全加固核心措施
- 强制使用HTTPS：将所有HTTP请求重定向到HTTPS，配置HSTS（HTTP严格传输安全），强制浏览器使用HTTPS连接。
- 合理配置响应头：
X-XSS-Protection：开启浏览器的XSS防护机制。X-Frame-Options：禁止页面被嵌入iframe，防止点击劫持。Content-Security-Policy：限制资源加载和脚本执行范围。
- 输入输出校验：对所有用户输入做过滤，对输出做编码，避免注入类漏洞。
- 定期安全审计：使用工具（如OWASP ZAP）扫描Web应用的HTTP安全漏洞，及时修复。
四、经典练习题（附答案）
选择题
- 下列哪种XSS漏洞会将恶意脚本存储在服务器数据库中？（）
A. 反射型XSS B. 存储型XSS C. DOM型XSS D. 以上都是 - 防护CSRF攻击的核心手段不包括？（）
A. 验证Referer头 B. 添加CSRF Token C. 输入过滤 D. 设置SameSite Cookie - 为防止HTTP明文传输导致的劫持，最佳方案是？（）
A. 密码Base64加密 B. 开启HTTPS C. 增加请求参数复杂度 D. 限制IP访问
简答题
- 简述存储型XSS与反射型XSS的核心区别。
- 列举三种HTTP安全加固的响应头配置，并说明其作用。
答案
选择题：1.B 2.C 3.B
简答题：
- 存储型XSS的恶意脚本会被持久化存储在服务器（如数据库、文件），所有访问对应页面的用户都会触发；反射型XSS的恶意脚本通过URL参数传递，服务器仅将脚本反射回页面，仅针对点击恶意链接的用户触发，不会持久化存储。
- ①
X-Frame-Options: DENY：禁止页面被嵌入任何iframe，防止点击劫持；②Content-Security-Policy: default-src 'self'：