xss攻击通常是指利用网页开发中留下的漏洞，向网页中注入恶意指令代码，使用户加载并执行攻击者创建的恶意网页。
这些恶意的web程序通常是javascript，但它们实际上可以包括java、vbscript、activex、flash甚至普通的html。攻击成功后，攻击者可能会获得各种内容，包括但不限于更高的权限(如执行某些操作)、私有web内容、对话和cooki
xss攻击的全称是跨站脚本攻击，不要和层叠样式表(cascadingstylesheets，css)的缩写混淆。因此，跨站脚本攻击简称为xss。xss是web应用程序中的一个计算机安全漏洞，它允许恶意web用户将代码植入提供给其他用户的页面中。
防御xss攻击需要关注以下原则:
当不可信的数据入到html标记之间时，它们被html实体编码。
当不可信数据入到html属性中时，该数据由html属性编码。
当不可信数据入到脚本中时，它被编写脚本。
当不受信任的数据入到样式属性中时，它被css编码。
当不受信任的数据入到htmlurl中时，它被url编码。
当使用富文本时，xss规则引擎用于编码和过滤。
xss攻击，即跨站脚本攻击，不要与层叠样式表(css)的缩写混淆。xss是一种经常出现在w
jsonwebtoken(jwt)是一个基于json的开放标准(rfc7519)，实现该标准是为了在网络应用环境之间传输声明。jwtrfc7519标准化摘要:jsonwebtoken是一个紧凑的url
一种安全的来表示要在双方之间传输的语句。jwt一般用于在身份提供者和服务提供者之间传递经过认证的用户身份信息，从而从资源服务器获取资源。它还可以添加一些其他业务逻辑所必需的附加声明信息。该令牌还可以它可以直接用于认证或加密。
三、jwt认证流程
1.客户端调用登录接口(或获取令牌接口)并传入用户名和密码。
2.服务器请求认证中心确认用户名和密码是否正确。
3.服务器创建jwt并将其返回给客户端。
4.客户端获取jwt并存储它(如果是浏览器，它可以存储在缓存、数据库或cookie中)。在随后的请求中，将jwt添加到http请求头中。
5.服务器验证jwt，通过验证后返回相关资源和数据。
四。智威汤逊组合
jwt由三部分信息组成，第一部分是报头，第二部分是有效载荷，第三部分是签名。每一段内容都是一个json对象。json对象的每一部分都用base64编码，编码的内容用。形成jwt弦。
例子如下:
令牌编码64(表头)。encod:
eyjhbgcioijuzi1niisinr5cci6ikpxvcj9.eyjsb2dnzwrjbkfzijoiywrtaw4ilcjpyxqioje0mji3nzk2mzh9.gzsrasys8exbxln_ownfsrgccmjmmjliyu5cspyhi
编码和解码
一般来说，编解码的目的是用字节表示数据，便于存储和网络传输。整个jwt字符串将被放在http的头或url中，因此有必要对其进行编码，以避免诸如解析之类的意外错误。在jwt中，所有三个部分都除以。是否经过bas:jwt
.jpg)
