第4章 Web安全基础：XSS、CSRF、SQL注入、文件上传漏洞

Web安全是网络安全面试的必考模块，XSS、CSRF、SQL注入、文件上传漏洞被称为“四大护法”。面试官通过这组问题考察候选人的漏洞原理理解深度、实战防御经验以及系统化思维。本章拆解每个漏洞的面试应答框架，并提供大厂评分标准。

① 识别漏洞类型 XSS / CSRF / SQL / 文件上传 ② 阐述原理与攻击 反射型 / 预编译 / 闭合标签 ③ 攻击场景与危害 盗取Cookie / 数据脱库 ④ 防御措施 输入过滤 / / 白名单 ⑤ 项目经验佐证 实际修复案例 / 绕过测试

问答卡片 1：XSS与CSRF

典型问题 “请解释XSS和CSRF的区别，如何防御？”
“存储型XSS的检测方法有哪些？”
回答框架
  • 区别：XSS利用用户对网站的信任，盗取信息；CSRF利用网站对用户的信任，伪造请求。
  • 核心防御：XSS → 输出编码 + CSP；CSRF → + SameSite Cookie。
  • 实战案例：某CMS评论区未过滤