本文目录一览：
XSS攻击的定义，类型以及防御方法？
XXS攻击全称跨站脚本攻击，是一种在Web应用中的计算机安全漏洞，它允许恶意Web用户将代码植入到提供给其他使用的页面中。
XSS攻击有哪几种类型?下面就由锐速云的小编为大家介绍一下
经常见到XSS攻击有三种：反射XSS攻击、DOM-based型XSS攻击以及储存型XSS攻击。
[if !supportLists]1、[endif]反射型XSS攻击
反射性XSS一般是攻击者通过特定手法(如电子邮件)，诱使用户去访问一个包含恶意代码的URL，当受害者点击这些专门设计链接的时候，恶意代码会直接在受害主机上的浏览器上执行，反射型XSS通常出现在网站搜索栏，用户登入口等地方，常用来窃取客户端或进行钓鱼欺骗。
[if !supportLists]2、[endif]存储型XSS攻击
存储型XSS攻击也叫持久型XSS，主要将XSS代码提交储存在服务器端(数据库，内存，文件系统等)下次请求目标页面时不用在提交XSS代码。当目标用户访问该页面获取数据时，XSS代码会从服务器解析之后加载出来，返回到浏览器做正常的HTML和JS解析执行，XSS攻击就发生了。储存型XSS一般出现在网站留言，评论，博客日志等交互处，恶意脚本储存到客户端或者服务端的数据库中。
[if !supportLists]3、[endif]DOM-based型XSS攻击
DOM-based型XSS攻击它是基于DOM的XSS攻击是指通过恶意脚本修改页面的DOM结构，是纯粹发生在客户端的攻击。DOM型XSS攻击中，取出和执行恶意代码由浏览器端完成，属于前端JavaScript自身的安全漏洞。
如何防御XSS攻击?
[if !supportLists]1、[endif]对输入内容的特定字符进行编码，列如表示html标记等符号。
[if !supportLists]2、[endif]对重要的cookie设置httpOnly，防止客户端通过document。cookie读取cookie，此HTTP开头由服务端设置。
[if !supportLists]3、[endif]将不可信的输出URT参数之前，进行URLEncode操作，而对于从URL参数中获取值一定要进行格式检查
[if !supportLists]4、[endif]不要使用Eval来解析并运行不确定的数据或代码，对于JSON解析请使用JSON。Parse()方法
[if !supportLists]5、[endif]后端接口也应该要做到关键字符过滤的问题。
存储型XSS与反射型XSS有什么区别
XSS就是XSS。所谓“存储型”、“反射型”都是从黑客利用的角度区分的。对于程序员来说意义不大，反而是误导。只有“DOM-based”型略有不同。
XSS、SQL
injection之类的漏洞，原理都是破坏跨层协议的数据/指令的构造。
php反射在哪些场景有哪些作用？
反射是在PHP运行状态中，扩展分析PHP程序，导出或提取出关于类、方法、属性、参数等的详细信息，包括注释。这种动态获取的信息以及动态调用对象的方法的功能称为反射API。反射是操纵面向对象范型中元模型的API，其功能十分强大，可帮助我们构建复杂，可扩展的应用。
其用途如：自动加载插件，自动生成文档，甚至可用来扩充PHP语言。
php反射api由若干类组成，可帮助我们用来访问程序的元数据或者同相关的注释交互。借助反射我们可以获取诸如类实现了那些方法，创建一个类的实例（不同于用new创建），调用一个方法（也不同于常规调用），传递参数，动态调用类的静态方法。
反射api是php内建的oop技术扩展，包括一些类，异常和接口，综合使用他们可用来帮助我们分析其它类，接口，方法，属性，方法和扩展。这些oop扩展被称为反射。
通过ReflectionClass，我们可以得到Person类的以下信息：
1）常量 Contants
2）属性 Property Names
3）方法 Method Names静态
4）属性 Static Properties
5）命名空间 Namespace
6）Person类是否为final或者abstract
然后就去看了看thinkphp的源码，对于MVC的实现也有不同的体验ThinkPHP\Lib\Core\App.class.php 中的exec方法
if(!preg_match('/^[A-Za-z](\w)*$/',$action)){
// 非法操作
throw new ReflectionException();
}
//执行当前操作
$method = new ReflectionMethod($module, $action); #查看方法
if($method-isPublic()) {
$class = new ReflectionClass($module); #反射控制器
// 前置操作
if($class-hasMethod('_before_'.$action)) {
$before = $class-getMethod('_before_'.$action);
if($before-isPublic()) {
$before-invoke($module);
}
}
// URL参数绑定检测
if(C('URL_PARAMS_BIND') $method-getNumberOfParameters()0){
switch($_SERVER['REQUEST_METHOD']) {
case 'POST':
$vars = $_POST;
break;
case 'PUT':
parse_str(file_get_contents('php://input'), $vars);
break;
default:
$vars = $_GET;
}
$params = $method-getParameters();
foreach ($params as $param){
$name = $param-getName();
if(isset($vars[$name])) {
$args[] = $vars[$name];
}elseif($param-isDefaultValueAvailable()){
$args[] = $param-getDefaultValue();
}else{
throw_exception(L('_PARAM_ERROR_').':'.$name);
}
}
$method-invokeArgs($module,$args);
}else{
$method-invoke($module); #执行我们需要调用函数
}
// 后置操作
if($class-hasMethod('_after_'.$action)) {
$after = $class-getMethod('_after_'.$action);
if($after-isPublic()) {
$after-invoke($module);
}
}
xss攻击的实例
XSS又叫CSS (Cross Site Script) ，跨站脚本攻击。它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意攻击用户的特殊目的。XSS属于被动式的攻击，因为其