如何防止潛在的XSS

Question

我在閱讀有關XSS的文章時發現，檢查IP和用戶代理是防止cookie竊取的好方法。 我在SO上進行了測試，發現SO在更改他們的IP或用戶代理后不會注銷用戶，但是當我復制所有標頭並使用另一個程序將其發送給SO時，它會將我發送出去。 當IP和用戶代理不重要並且所有http標頭都相同時，如何檢測到某些不同？

Answer 1

例如，SE使用更多方式進行身份驗證。 SE將令牌（如cookie）保存為子域上的脫機數據，並將其發送到服務器，以某種方式對數據進行驗證。 相比之下，您會獲得一個臨時令牌，該臨時令牌將發送到登錄站點，您將登錄。

希望對您有所幫助。