我熟悉持久性和非持久性XSS http://en.wikipedia.org/wiki/Cross-site_scripting。
我也知道同源政策 http://en.wikipedia.org/wiki/Same_origin_policy防止/限制源自一个网站页面的请求前往另一网站服务器。这让我认为同源策略至少可以阻止非持久性类型的XSS攻击（因为在持久性类型的攻击中，恶意代码的来源将与被盗的私人信息相同）。
我的理解正确吗？ SOP 可以用来阻止/减少这些攻击吗？
编辑：好的，我对浏览器端两个脚本之间的调用方法和另一个网站上的 HTTP POST 等方法的调用感到困惑。谢谢杰克伯的回答。
现在我还有一个问题，SOP 是否能够阻止跨站请求伪造 http://en.wikipedia.org/wiki/Cross-site_request_forgery？
维基百科中给出的示例讲述了 Bob 访问 Mallory 在聊天论坛上创建的恶意图像标签。然而，根据 SOP 规则，恶意脚本不应该能够访问银行的 cookie。我在这里错过了什么吗？
通常不会。
非持久性或反射型 XSS 攻击利用未经适当清理而作为页面内容回显的输入，也不会持久化它。在这两种情况下，注入的脚本似乎都来自被利用的域。
例如，如果您在 PHP 中执行此操作：echo $_GET['param']并将该页面的链接发送给某人，其中包含?param=<script>alert('got you!');</script>这是一种非持久性XSS攻击，与同源策略无关。
同源意味着你不能直接注入脚本或修改其他域上的 DOM：这就是为什么你需要首先找到 XSS 漏洞。
本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)
