一、前端漏洞

1、XSS攻擊

核心：惡意腳本注入

描述：攻擊者通過在目標網站上注入惡意腳本，使之在用戶的瀏覽器上運行。利用這些惡意腳本，攻擊者可獲取用戶的敏感信息如 Cookie、SessionID 等，進而危害數據安全。

2、CSRF攻擊

核心：利用用戶身份偽造請求

描述：利用受害者在被攻擊網站已經獲取的注冊憑證，繞過后臺的用戶驗證，冒充用戶對被攻擊的網站發送執行某項操作的請求

3、HTTP劫持

核心：廣告、彈框html注入

描述：當我們訪問頁面的時候，運營商在頁面的HTML代碼中，插入彈窗、廣告等HTML代碼，來獲取相應的利益

4、界面操作劫持

核心：視覺欺騙

描述：界面操作劫持是一種基于視覺欺騙的劫持攻擊。通過在頁面上覆蓋一個iframe + opacity:0的頁面，讓用戶誤點擊

5、錯誤的內容推斷

核心：js偽裝成圖片文件

描述：攻擊者將含有JavaScript的腳本文件偽裝成圖片文件（修改后綴等）。該文件逃過了文件類型校驗，在服務器里存儲了下來。接下來，受害者在訪問這段評論的時候，瀏覽器請求這個偽裝成圖片的JavaScript腳本并執行

6、不安全的第三方依賴包

核心：第三方漏洞

描述：框架及第三方依賴的安全漏洞

7、HTTPS降級HTTP

核心：攔截首次http通信

描述：問題的本質在于瀏覽器發出去第一次請求就被攻擊者攔截了下來并做了修改，根本不給瀏覽器和服務器進行HTTPS通信的機會。大致過程如下，用戶在瀏覽器里輸入URL的時候往往不是從https://開始的，而是直接從域名開始輸入，隨后瀏覽器向服務器發起HTTP通信，然而由于攻擊者的存在，它把服務器端返回的跳轉到HTTPS頁面的響應攔截了，并且代替客戶端和服務器端進行后續的通信

8、本地存儲數據泄露

核心：敏感、機密數據

描述：前端存儲敏感、機密信息易被泄露

9、缺失靜態資源完整性校驗

核心：CDN資源劫持

描述：存儲在CDN中的靜態資源，攻擊者劫持了CDN，或者對CDN中的資源進行了污染

10、文件上傳漏洞

核心：文件類型限制

描述：文件后綴及文件內容沒有嚴格限制

11、文件下載漏洞

核心：文件類型、目錄限制

描述：下載敏感文件、下載目錄

二、防范方法

1、通用方法

 2、響應頭詳解