A. 網站如何防止sql注入攻擊的解決辦法
首先我們來了解下什麼是SQL注入，SQL注入簡單來講就是將一些非法參數插入到網站資料庫中去，執行一些sql命令，比如查詢資料庫的賬號密碼，資料庫的版本，資料庫伺服器的IP等等的一些操作，sql注入是目前網站漏洞中危害最大的一個漏洞，受攻擊的網站佔大多數都是sql注入攻擊。
sql注入攻擊用英語來講Structured Query Language，在網站的編程語言當中是一種比較另類的網站開發語言，我們網站安全行業通常來講sql是用來資料庫查詢的一種網站開發語言，同時也是一種腳本文件的一個文件名，通俗來講sql就是用來對網站的資料庫進行查詢，以及增加，寫入，更新資料庫的一個sql資料庫操作。
關於資料庫我們分為2種資料庫，一種是關系資料庫，非關系資料庫，那麼目前網站使用的都是關系資料庫，關系資料庫分為sql資料庫，microsoft sql server資料庫，ACC資料庫，mysql資料庫，oracle資料庫，DB2資料庫，postgresql資料庫等等的關系資料庫，非關系資料庫分為nosql資料庫，可以存儲很大數據，針對於一些並發較高，存儲較多，雲計算的場景，頻繁讀取寫入的資料庫，像memcachedb,redis,mongodb等等非關系資料庫。
那麼什麼是sql注入呢？ 簡單來講就是對網站強行進行插入數據，執行sql惡意語句對網站進行攻擊，對網站進行sql注入嘗試，可以獲取一些私密的信息，像資料庫的版本，管理員的賬號密碼等等。
關於如何防止sql注入攻擊，我們從以下幾點開始入手
首先我們可以了解到sql注入攻擊都是通過拼接的方式，把一些惡意的參數拼接到一起，然後在網站的前端中插入，並執行到伺服器後端到資料庫中去，通常我們在寫PHP網站代碼的時候會將get ID這個參數值獲取到後直接拼接到後端伺服器中去，查詢資料庫，但是如果拼接了一些惡意的非法參數，那麼久可以當做sql語句來執行，如果防止sql注入呢？
為了防止網站被sql注入攻擊，我們應該從一開始寫代碼的時候就應該過濾一些sql注入的非法參數，將查詢的一些sql語句，以及用戶輸入的參數值都以字元串的方式來處理，不論用戶輸入的什麼東西，在sql查詢的時候只是一段字元串，這樣構造的任何惡意參數都會以字元串的方式去查詢資料庫，一直惡意的sql注入攻擊就不會被執行，sql注入語句也就沒有效果了，再一個就是網站里的任何一個可以寫入的地方盡可能的嚴格過濾與限制，漏下一個可以輸入的地方網站就會被攻擊，網站就會被黑，所有做的網站安全就會沒有效果，包括一些get,post,cookie方式的提交都是不可信的，像數據表裡referer user-agent等欄位都是可以偽造，寫入sql注入語句的，像前端時間爆發的ecshop漏洞利用的就是user.php,偽造referer參數進行了sql注入，執行了遠程代碼。
再一個防止sql注入的方法就是開啟PHP的魔術配置，開啟安全配置模式，將safe_mode開啟on.以及關閉全局變數模式，register_globals參數設置為on,magic_quotes_gpc參數開啟，防止sql注入.如果對網站防止sql注入不懂的話，也可以找專業的網站安全公司來做安全，防止sql注入。
B. web前端開發面臨的挑戰主要是有哪些
平時工作，多數是開發Web項目，由於一般是開發內部使用的業務系統，所以對於安全性一般不是看的很重，基本上由於是內網系統，一般也很少會受到攻擊，但有時候一些系統平台，需要外網也要使用，這種情況下，各方面的安全性就要求比較高了。
1、測試的步驟及內容
這些安全性測試，據了解一般是先收集數據，然後進行相關的滲透測試工作，獲取到網站或者系統的一些敏感數據，從而可能達到控制或者破壞系統的目的。
2、SQL注入漏洞的出現和修復
SQL注入定義：
SQL注入攻擊是黑客對資料庫進行攻擊的常用手段之一。隨著B/S模式應用開發的發展，使用這種模式編寫應用程序的程序員也越來越多。但是由於程序員的水平及經驗也參差不齊，相當大一部分程序員在編寫代碼的時候，沒有對用戶輸入數據的合法性進行判斷，使應用程序存在安全隱患。用戶可以提交一段資料庫查詢代碼，根據程序返回的結果，獲得某些他想得知的數據，這就是所謂的SQL Injection，即SQL注入。
SQL注入有時候，在地址參數輸入，或者控制項輸入都有可能進行。如在鏈接後加入』號，頁面報錯，並暴露出網站的物理路徑在很多時候，很常見，當然如果關閉了Web.Config的CustomErrors的時候，可能就不會看到。
3、跨站腳本攻擊漏洞出現和修復
跨站腳本攻擊，又稱XSS代碼攻擊，也是一種常見的腳本注入攻擊。例如在界面上，很多輸入框是可以隨意輸入內容的，特別是一些文本編輯框裡面，可以輸入例如這樣的內容，如果在一些首頁出現很多這樣內容，而又不經過處理，那麼頁面就不斷的彈框，更有甚者，在裡面執行一個無限循環的腳本函數，直到頁面耗盡資源為止，類似這樣的攻擊都是很常見的，所以我們如果是在外網或者很有危險的網路上發布程序，一般都需要對這些問題進行修復。
C. 請教各位大神關於從js寫法上避免xss攻擊的問題
XSS攻擊通常是指黑客通過"HTML注入"篡改了網頁，插入了惡意的腳本，從而在用戶瀏覽網頁時，控制用戶瀏覽器的一種攻擊。
一、HttpOnly防止劫取Cookie
HttpOnly最早由微軟提出，至今已經成為一個標准。瀏覽器將禁止頁面的Javascript訪問帶有HttpOnly屬性的Cookie。目前主流瀏覽器都支持，HttpOnly解決是XSS後的Cookie支持攻擊。
我們來看下網路有沒有使用。
未登錄時的Cookie信息
可以看到，所有Cookie都沒有設置HttpOnly，現在我登錄下
發現在個叫BDUSS的Cookie設置了HttpOnly。可以猜測此Cookie用於認證。
下面我用PHP來實現下：
<?php
header("Set-Cookie: cookie1=test1;");
header("Set-Cookie: cookie2=test2;httponly",false);
setcookie('cookie3','test3',NULL,NULL,NULL,NULL,false);
setcookie('cookie4','test4',NULL,NULL,NULL,NULL,true);
?>
<script>
alert(document.cookie);
</script>
js只能讀到沒有HttpOnly標識的Cookie
二、輸入檢查
輸入檢查一般是檢查用戶輸入的數據中是否包含一些特殊字元，如<、>、'、"等，如果發現存在特殊字元，則將這些字元過濾或者編碼。
例如網站注冊經常用戶名只允許字母和數字的組合，或者郵箱電話，我們會在前端用js進行檢查，但在伺服器端代碼必須再次檢查一次，因為客戶端的檢查很容易繞過。
網上有許多開源的「XSS Filter」的實現，但是它們應該選擇性的使用，因為它們對特殊字元的過濾可能並非數據的本意。比如一款php的lib_filter類：
$filter = new lib_filter();
echo $filter->go('1+1>1');
它輸出的是1，這大大歪曲了數據的語義，因此什麼情況應該對哪些字元進行過濾應該適情況而定。
三、輸出檢查
大多人都知道輸入需要做檢查，但卻忽略了輸出檢查。
1、在HTML標簽中輸出
如代碼：
<?php
$a = "<script>alert(1);</script>";
$b = "<img src=# onerror=alert(2) />";
?>
<div><?=$b?></div>
<a href="#"><?=$a?></a>
這樣客戶端受到xss攻擊，解決方法就是對變數使用htmlEncode,php中的函數是htmlentities
<?php
$a = "<script>alert(1);</script>";
$b = "<img src=# onerror=alert(2) />";
?>
<div><?=htmlentities($b)?></div>
<a href="#"><?=htmlentities($a)?></a>
2、在HTML屬性中輸出
<div id="div" name ="$var"></div>
這種情況防禦也是使用htmlEncode
在owasp-php中實現：
$immune_htmlattr = array(',', '.', '-', '_');
$this->htmlEntityCodec->encode($this->immune_htmlattr, "\"><script>123123;</script><\"");
3、在<script>標簽中輸出
如代碼：
<?php
$c = "1;alert(3)";
?>
<script type="text/javascript">
var c = <?=$c?>;
</script>
這樣xss又生效了。首先js變數輸出一定要在引號內，但是如果我$c = "\"abc;alert(123);//"，你會發現放引號中都沒用，自帶的函數都不能很好的滿足。這時只能使用一個更加嚴格的JavascriptEncode函數來保證安全——除數字、字母外的所有字元，都使用十六進制"\xHH"的方式進行編碼。這里我採用開源的owasp-php方法來實現
$immune = array("");
echo $this->javascriptCodec->encode($immune, "\"abc;alert(123);//");
最後輸出\x22abc\x3Balert\x28123\x29\x3B\x2F\x2F
4、在事件中輸出
<a href="#" onclick="funcA('$var')" >test</a>
可能攻擊方法
<a href="#" onclick="funcA('');alter(/xss/;//')">test</a>
這個其實就是寫在<script>中，所以跟3防禦相同
5、在css中輸出
在owasp-php中實現：
$immune = array("");
$this->cssCodec->encode($immune, 'background:expression(window.x?0:(alert(/XSS/),window.x=1));');
6、在地址中輸出
先確保變數是否是"http"開頭，然後再使用js的encodeURI或encodeURIComponent方法。
在owasp-php中實現：
$instance = ESAPI::getEncoder();
$instance->encodeForURL(『url』);
四、處理富文體
就像我寫這篇博客，我幾乎可以隨意輸入任意字元，插入圖片，插入代碼，還可以設置樣式。這個時要做的就是設置好白名單，嚴格控制標簽。能自定義 css件麻煩事，因此最好使用成熟的開源框架來檢查。php可以使用htmlpurify
五、防禦DOM Based XSS
DOM Based XSS是從javascript中輸出數據到HTML頁面里。
<script>
var x = "$var";
document.write("<a href='"+x+"'>test</a>");
</script>
按照三中輸出檢查用到的防禦方法，在x賦值時進行編碼，但是當document.write輸出數據到HTML時，瀏覽器重新渲染了頁面，會將x進行解碼，因此這么一來，相當於沒有編碼，而產生xss。
防禦方法：首先，還是應該做輸出防禦編碼的，但後面如果是輸出到事件或腳本，則要再做一次javascriptEncode編碼，如果是輸出到HTML內容或屬性，則要做一次HTMLEncode。
會觸發DOM Based XSS的地方有很多：
document.write()、document.writeln()、xxx.innerHTML=、xxx.outerHTML=、innerHTML.replace、document.attachEvent()、window.attachEvent()、document.location.replace()、document.location.assign()
D. web前端怎麼防止代碼注入攻擊
三種方式：
一，HTML防注入。
一般的html注入都是在字元串中加入了html標簽，用下JAVA代碼可以去掉這部分代碼。
代碼如下，自己封裝成方法即可。
String msge = "asdasdasdasd <div id="f">asdfsdf";
System.out.println(msge);
msge = msge.replace("&", "&");
msge = msge.replace("<", "<");
msge = msge.replace(" ", " ");
msge = msge.replace(">", ">");
msge = msge.replace(""", """);
msge = msge.replace("'", "&qpos;");
System.out.println(msge);
二、防SQL注入
最簡單最容易的是限制用戶輸入。
簡單點的就是不允許用戶輸入單引號 和 --，因為單引號號--在SQL中都是影響執行的。
但SQL注入是多方面的，防止的方法也有很多種。
1、地址欄禁止特殊字元防SQL注入
把特殊字元（如and、or、'、"）都禁止提交就可以防止注入了。
2、php過濾html字元串，防止SQL注入
批量過濾post,get敏感數據
$_GET = stripslashes_array($_GET);
$_POST = stripslashes_array($_POST);
數據過濾函數
function stripslashes_array(&$array) {
while(list($key,$var) = each($array)) {
if ($key != 'argc' && $key != 'argv' && (strtoupper($key) != $key || ''.intval($key) == "$key")) {
if (is_string($var)) {
$array[$key] = stripslashes($var);
}
if (is_array($var)) {
$array[$key] = stripslashes_array($var);
}
}
}
return $array;
}
3、替換HTML尾標簽
function lib_replace_end_tag($str)
{
if (empty($str)) return false;
$str = htmlspecialchars($str);
$str = str_replace( '/', "", $str);
$str = str_replace("\", "", $str);
$str = str_replace(">", "", $str);
$str = str_replace("<", "", $str);
$str = str_replace("<SCRIPT>", "", $str);
$str = str_replace("</SCRIPT>", "", $str);
$str = str_replace("<script>", "", $str);
$str = str_replace("</script>", "", $str);
$str=str_replace("select","select",$str);
$str=str_replace("join","join",$str);
$str=str_replace("union","union",$str);
$str=str_replace("where","where",$str);
$str=str_replace("insert","insert",$str);
$str=str_replace("delete","delete",$str);
$str=str_replace("update","update",$str);
$str=str_replace("like","like",$str);
$str=str_replace("drop","drop",$str);
$str=str_replace("create","create",$str);
$str=str_replace("modify","modify",$str);
$str=str_replace("rename","rename",$str);
$str=str_replace("alter","alter",$str);
$str=str_replace("cas","cast",$str);
$str=str_replace("&","&",$str);
$str=str_replace(">",">",$str);
$str=str_replace("<","<",$str);
$str=str_replace(" ",chr(32),$str);
$str=str_replace(" ",chr(9),$str);
$str=str_replace(" ",chr(9),$str);
$str=str_replace("&",chr(34),$str);
$str=str_replace("'",chr(39),$str);
$str=str_replace("<br />",chr(13),$str);
$str=str_replace("''","'",$str);
$str=str_replace("css","'",$str);
$str=str_replace("CSS","'",$str);
return $str;
}
三、專業的事情交給專業的工具去做。
安裝安全軟體。例如，在伺服器中安裝「伺服器安全狗」，可以設置防注入，防攻擊的設置，只要設置好安全規則，就可以屏蔽大多數攻擊入侵。
E. 網站被持續性ddos攻擊怎麼解決
當我們發現網站被攻擊的時候不要過度驚慌失措，先查看一下網站伺服器是不是被黑了，找出網站存在的黑鏈，然後做好網站的安全防禦，開啟IP禁PING，可以防止被掃描，關閉不需要的埠，打開網站的防火牆。這些是只能防簡單的攻擊，對於DDOS攻擊攻擊，單純地加防火牆沒用，必須要有足夠的帶寬和防火牆配合起來才能防禦，你的防禦能力大於攻擊者的攻擊流量那就防住了。不過單獨硬防的成本挺高的，企業如果對成本控制有要求的話可以選擇墨者.安全的集群防護，防禦能力是很不錯的，成本也比阿里雲網易雲這些大牌低。
F. 前端存在哪些安全問題
1. XSS
2. sql 注入
3. CSRF：是跨站請求偽造，很明顯根據剛剛的解釋，他的核心也就是請求偽造，通過偽造身份提交 POST 和 GET 請求來進行跨域的攻擊
完成 CSRF 需要兩個步驟：
1. 登陸受信任的網站 A，在本地生成 COOKIE
2. 在不登出 A 的情況下，或者本地 COOKIE 沒有過期的情況下，訪問危險網站 B。
你可以去後盾人平台看看，裡面的東西不錯
G. web前端和web滲透有什麼區別
你是打錯了吧？這兩個東西怎麼會搭邊。
web前端是給用戶交互的界面
web滲透是你鑽別人網站伺服器里去
H. 千峰的前端靠譜嗎！！！
第一階段：PC端頁面製作與動畫特效
學完第一階段就可以配合UI設計師進行項目開發完成pc端網頁的布局製作與樣式設計實現。
一、html+css搭建頁面
1. HTML語義化標簽
2. Html標簽規范
3. Css樣式基礎
4. Css高級及布局方案
二、PhotoShop切圖流程
1. Photoshop基本使用
2. 了解各種圖片格式及優缺點
3. 圖片切圖流程
4. PSD格式源文件切圖流程
5. 設計圖轉頁面布局實際操作
三、Css3動畫特效
1. Transition過渡
2. Transform變形
3. Animation動畫
4. 3D特效製作
第二階段：移動端頁面製作與響應式實現
這一階段主要是移動端網頁的布局製作與樣式設計實現。可以適配各種手機尺寸，並能利用響應式驚醒移動端與PC端適配。
一、移動端概念與布局
1. 移動端概念，如：PPI、像素比
2. Viewport視口
3. 移動端適配方案
4. 移動端尺寸單位，如：rem、vw
5. 移動端布局實際操作
二、響應式設計與實現
1. 媒體查詢@media
2. Flex彈性盒模型
3. 移動端常見設備尺寸
4. 移動端交互實現
第三階段JavaScript與jQuery開發
這一階段是重中之重，這一階段主要是頁面行為交互，實現網站中常見特效，如：輪播圖、選項卡、拖拽。並能配合UI和後端進行項目開發；
一、JavaScript開發
1. DOM、BOM、事件
2. 面向對象、演算法、動畫
3. Ajax、前後端通信原理
4. 閉包、設計模式、錯誤處理
5. 常見特效製作及整站交互實現
二、jQuery開發
1. jQuery核心思想及特性
2. jQuery常見方法及使用
3. jquery插件製作與jqueryUI組件使用 4.
4、編寫常見特效及jQuery源碼分析
三、項目：純原生前端技術打造仿小米電商網站視頻
第四階段：H5高級框架技術開發；
這一階段是現在公司開發中常用的框架，這一階段學完就可以利用框架開發項目，實現單頁面應用開發。可以完成復雜的數據交互應用場景。具備獨立開大項目的能力。
一、Vue框架開發及項目 1、Vue基礎教程 a) Vue組件與Vue生命周期 b) 單文件組件與腳手架搭建 c) Vue路由 d) Vuex狀態管理 e) Nuxt服務端渲染 f) 基於Vue的UI組件庫
二、Vue項目：
三、Vue常見問題講解：
二、React框架開發
1、 React基礎教程 a) JSX語法與Hooks新特性 b) React路由 c) Rex狀態管理 d) Next服務端渲染 e) 基於React的UI組件庫
第五階段：全棧前後端技術開發
學好了這個階段的技術恭喜你就能進行前後端全棧式開發了，能獨立完成一個中小型項目的前後台。
一、Nodejs技術
1. Node內置API
2. Node文件操作與伺服器搭建
3. Express框架與KOA框架
4. Mongodb資料庫
5. Npm的功能使用
二、其他後端技術
1. 初始Java或PHP語言
2. 表達式與數據類型
3. 語句結構與數組
4. 類與對象
5. this、static屬性、方法
6. 抽象類、介面與多態
三、NodeJS+Express+MongoDB實戰項目
第六階段：混合應用技術開發
一、React Native技術
1. RN開發環境准備與基礎組件介紹
2. 多組件集成應用實現TodoList
3. 引入路由，通用模塊及列表頁面布局
4. RN內置API詳解
5. RN內置組件與項目上線流程
二、微信小程序開發
1. 小程序組件
2. 小程序API
3. 小程序雲函數
4. Wepy小程序開發框架
5. MpVUe小程序開發框架
三、小程序項目
四、Mpvue小程序框架
第七階段：H5大前端技術開發
一、數據可視化技術
1. 數據可視化基礎
2. Echars、Hignchars
3. D3.js入門
4. D3,js進階
5. D3.js選擇集與數據
6. D3.js高級應用
7. D3,js應用工具：NVD3、N3-chars
二、Flutter技術
1. 界面結構與基礎部件
2. 布局與表單
3. Dart語法
4. Widgets容器
5. 網路請求與路由
三、Electron技術
1. Electron入門
2. Electron調試技巧
3. Electron核心API
4. Electron與React、vue集成開發
5. 構建Windows、mac應用
第八階段：H5架構技術 ，開發工具集伺服器技術
1. 掌握Webpack等工具搭建項目
2. Git工具及github管理
3. 阿里雲ECS：Linux伺服器
4. Nginx：Web伺服器
5. Docker：容器化應用
6. Serverless：無伺服器技術
二、安全及性能優化
1. 前端攻擊demo詳解
2. 前端監控異常
3. 測試前端代碼線上的實際性能
4. SEO：搜索引擎優化
5. Chrome中的高級調試功能
以上就是給你分享的千鋒前端的學習路線，貼合企業，就業有保障
I. js生成的驗證碼可以防止黑客攻擊網站嗎
要是管用就好了...誰大腦壞了通過頻繁輸入驗證碼來對伺服器攻擊...還說有效？？
最簡單的DDOS一下，防火牆能不能防住都很難說，別說是個驗證碼..而且ddos不需要輸入驗證碼