知识问答
HTML5安全性，开发人员必须注意哪些关键问题？
HTML5作为现代Web开发的核心标准，引入了许多新特性和API，极大地丰富了Web应用的功能，这些新功能也带来了新的安全挑战，开发人员在利用HTML5构建应用时，必须牢记以下安全问题，以确保应用的安全性和用户数据的保护：
HTML5相关新技术的安全问题
1、跨域资源共享（CORS）
风险点：CORS允许跨域请求，但如果配置不当，可能导致信息泄露，将AccessControlAllowOrigin设置为"*"且没有会话认证，会使信息公开在全网。
防御姿势：不要对AccessControlAllowOrigin使用"*"，对跨域请求验证session信息，严格审查请求信息。
2、本地存储风险
风险点：LocalStorage和SessionStorage提供了更大的存储空间，但也可能成为攻击目标，敏感数据可能被存储在本地，物理访问或破坏工作站的攻击者可以轻松获取这些数据。
防御姿势：对存储的数据进行加密，避免存储敏感信息，定期清理不再需要的数据。
3、Web Worker多线程风险
风险点：Web Worker允许JavaScript多线程执行，但如果不当使用，可能导致UI阻塞或其他安全问题。
防御姿势：合理使用Web Worker，确保不会因多线程执行导致UI阻塞或安全漏洞。
4、WebSocket带来的嗅探风险
风险点：WebSocket允许服务器主动推送信息到客户端，这可能被用于嗅探或其他恶意活动。
防御姿势：确保WebSocket通信经过加密，使用安全的协议和端口，限制不必要的数据传输。
5、新标签和新API风险
风险点：HTML5引入了许多新标签和API，如<video>、<audio>、地理位置API等，这些新特性可能被滥用来追踪用户或发起攻击。
防御姿势：在使用新标签和API时，始终考虑用户隐私和安全性，避免不必要的数据收集和传输。
具体安全问题及防御措施
1、表单篡改
描述：攻击者可以在注入JavaScript的网站上更改表单行为，窃取用户信息。
防御姿势：对用户输入进行严格的验证和过滤，使用CSP限制脚本执行。
2、地理定位追踪
描述：HTML5的地理定位功能可能被滥用来追踪用户位置。
防御姿势：仅在获得用户明确许可后使用地理定位功能，定期审查和更新权限设置。
3、桌面通知社会工程学攻击
描述：桌面通知可能被用于网络钓鱼或假冒***毒软件等社会工程学攻击。
防御姿势：谨慎使用桌面通知功能，确保通知内容安全可信，避免诱导用户执行危险操作。
4、跨域请求或WebSockets端口扫描
描述：攻击者可能利用HTML5的跨域请求或WebSockets对内部网络进行端口扫描。
防御姿势：限制不必要的跨域请求和WebSocket连接，使用防火墙和其他安全措施保护内部网络。
5、点击劫持
描述：点击劫持是一种常见的攻击方式，攻击者通过隐藏链接诱使用户点击，从而执行恶意操作。
防御姿势：使用Framekilling技术或其他方法防止点击劫持，确保网站内容不被嵌入到不安全的iframe中。
FAQs
1、为什么HTML5的本地存储存在安全隐患？
回答：HTML5的LocalStorage和SessionStorage提供了更大的存储空间，使得大量数据可以存储在用户的浏览器中，如果这些数据包含敏感信息，一旦用户的设备被物理访问或通过网络攻击被攻破，攻击者就可以轻松获取这些数据，开发者应避免在本地存储中保存敏感信息，并对存储的数据进行加密处理。
2、如何防止跨域资源共享（CORS）带来的安全风险？
回答：为了防止CORS带来的安全风险，开发者应避免将AccessControlAllowOrigin设置为"*"，因为这会使信息公开在全网，相反，应该指定具体的可信任域名，跨域请求应携带会话认证信息，并严格审查请求参数和HTTP头信息，如果需要使用CORS并且允许携带会话信息，应在服务器端设置具体的域名，而不是使用通配符"*"。
HTML5虽然为Web开发带来了许多便利和新功能，但也引入了新的安全挑战，开发人员在利用这些新特性时，必须采取相应的安全措施，以保护用户数据和应用的安全性。
