如何防止潜在的XSS

Question

我在阅读有关XSS的文章时发现，检查IP和用户代理是防止cookie窃取的好方法。 我在SO上进行了测试，发现SO在更改他们的IP或用户代理后不会注销用户，但是当我复制所有标头并使用另一个程序将其发送给SO时，它会将我发送出去。 当IP和用户代理不重要并且所有http标头都相同时，如何检测到某些不同？

Answer 1

例如，SE使用更多方式进行身份验证。 SE将令牌（如cookie）保存为子域上的脱机数据，并将其发送到服务器，以某种方式对数据进行验证。 相比之下，您会获得一个临时令牌，该临时令牌将发送到登录站点，您将登录。

希望对您有所帮助。