本文目录一览：
- 1、Java-JSP网站 防SQL注入，防XSS等攻击有什么好的处理办法
- 2、JSP网站 防SQL注入，防XSS等攻击有什么好的处理办法
- 3、jsp中如何解决xss攻击问题
- 4、网页设计和网站开发用到的技术有哪些?
- 5、xss注入漏洞产生的原因？xss注入过程步骤是什么？防范xss注入的方法有哪些
Java-JSP网站 防SQL注入，防XSS等攻击有什么好的处理办法
现在的持久层框架都有防止sql注入的功能。xxs一般都是转义关键字。
JSP网站 防SQL注入，防XSS等攻击有什么好的处理办法
，防XSS等攻击的话，首先要选择PreparedStatement来处理sql语句！同时java后台还需要对页面中接受到的参数进行字符替换！
jsp中如何解决xss攻击问题
那就写个过滤器，把有小于号大于号等等，与标签或者SQL有关的全部替换，然后再存进数据库。具体换成什么，自己决定吧。
网页设计和网站开发用到的技术有哪些?
A — AJAX
AJAX 全称为“ Asynchronous JavaScript and XML ”（异步 JavaScript 和 XML ），是一种创建交互式网页应用的 网页开发 技术。根据Ajax提出者Jesse James Garrett建议，AJAX：
使用 XHTML + CSS 来表示信息；
使用 JavaScript 操作 DOM （Document Object Model）进行动态显示及交互；
使用 XML 和 XSLT 进行数据交换及相关操作；
使用 XMLHttpRequest 对象与 Web服务器 进行异步数据交换；
使用 JavaScript 将所有的东西绑定在一起。
类似于 DHTML 或 LAMP ，AJAX不是指一种单一的技术，而是有机地利用了一系列相关的技术。事实上，一些基于AJAX的“派生／合成”式（derivative/composite）的技术正在出现，如 AFLAX 。
B — Browser
网页浏览器 是个显示 网页服务器 或文件系统内的文件，并让用户与此些文件交互的一种 软件 。它用来显示在 万维网 或 局域网
等内的文字、图像及其他信息。这些文字或图像，可以是连接其他网址的超连结，用户可迅速及轻易地浏览各种信息。大部分网页为 HTML
格式，有些网页需特定浏览器才能正确显示。 个人电脑 上常见的网页浏览器按照2010年1月的市场占有率依次是 微软 的 Internet
Explorer 、 Mozilla 的 Firefox 、 Google 的 Google Chrome 、 苹果公司 的 Safari 和
Opera软件公司 的 Opera 。浏览器是最经常使用到的 客户端程序 。Web开发人员应该确保其程序在各个主流浏览器中都能正常工作。
C — CSS
层叠样式表， 又称： 串样式列表 ，英文： Cascading Style Sheets ，简写为 CSS ，由 W3C
定义和维护的标准，一种用来为结构化文档（如 HTML 文档或 XML 应用）添加样式（字体、间距和颜色等）的 计算机语言 。目前最新版本是
CSS 2.1，为W3C的候选推荐标准。下一版本CSS 3仍然在开发过程中。
D — DOM
文档对象模型 （Document Object Model，简称DOM），是 W3C 组织推荐的处理 可扩展置标语言
的标准编程接口。Document Object Model的历史可以追溯至1990年代后期微软与 Netscape 的“ 浏览器大战
”（browser wars），双方为了在 JavaScript 与 JScript
一决生死，于是大规模的赋予浏览器强大的功能。微软在网页技术上加入了不少专属事物，计有VBScript、ActiveX、以及微软自家的D HTML
格式等，使不少网页使用非微软平台及浏览器无法正常显示。DOM即是当时蕴酿出来的杰作。
E — Events
事件 是可以被控件识别的操作，如按下确定按钮，选择某个 单选按钮 或者 复选框 。每一种控件有自己可以识别的事件，如 窗体 的加载、单击、双击等事件，编辑框(文本框)的文本改变事，等等，现代的Web应用程序很大程度上依靠事件驱动。
事件有系统事件和用户事件。系统事件由系统激发，如时间每隔24小时，银行储户的存款日期增加一天。用户事件由用户激发，如用户点击按钮，在文本框中显示特定的文本。 事件驱动 控件执行某项功能。触发事件的对象称为事件发送者；接收事件的对象称为事件接收者。
使用事件机制可以实现：当类对象的某个状态发生变化时，系统将会通过某种途径调用类中的有关处理这个事件的方法或者触发控件事件的对象就会调用该控件所有已注册的事件处理程序等。
F — Firebug
Firebug 是 网页浏览器 Mozilla Firefox
的一个扩展，是一个除错工具。用户可以利用它除错、编辑、甚至删改任何网站的 CSS 、 HTML 、 DOM 、与 JavaScript
代码。Firebug 也有提供其他网页开发工具，例如 Yahoo! 的网页速度优化建议工具 YSlow 。Firebug是哈维（ Joe
Hewitt ）撰写的。他是最初Firefox创始者之一。
G — Grid
网格 ，也称 栅格 ，不过从定义上说，栅格更为准确些。网上找个一个对网页栅格系统比较恰当的 定义
：以规则的网格阵列来指导和规范网页中的版面布局以及信息分布。网页栅格系统是从平面栅格系统中发展而来。对于网页设计来说，栅格系统的使用，不仅可以让
网页的信息呈现更加美观易读，更具可用性。而且，对于前端开发来说，网页将更加的灵活与规范。如果有很多CSS框架支持栅格功能，可参考文章《
介绍27款经典的CSS框架 》。
H — HTML
超文本置标语言 （ 英文 ： HyperText Markup Language ， HTML ）是为“ 网页 创建和其它可在 网页浏览器
中看到的信息”设计的一种 置标语言 。HTML被用来结构化信息——例如标题、段落和列表等等，也可用来在一定程度上描述文档的外观和 语义 。由
蒂姆·伯纳斯-李 给出原始定义，由 IETF 用简化的 SGML （标准通用置标语言）语法进行进一步发展的HTML，后来成为国际标准，由
万维网联盟 （W3C）维护。
最新版本是 HTML5 它是HTML下一个的主要修订版本，现在仍处于发展阶段。目标是取代1999年所定订的 HTML 4.01和
XHTML 1.0 标准，以期能在互联网应用迅速发展的时候，使网络标准达到符合当代的网络需求。广义论及HTML5时，实际指的是包括HTML、
CSS 和 JavaScript 在内的一套技术组合。
I — IE
Windows Internet Explorer （旧称 Microsoft Internet Explorer ，简称
Internet Explorer ，缩写 IE ），是 微软公司 推出的一款 网页浏览器
。截至2010年9月止，统计的数据显示Internet Explorer的 市场占有率
高达59.65%。虽然它依然是使用最广泛的网页浏览器，但与 2003年 最高峰时相比，市场占有率相差超过30%。
Internet Explorer对一些标准化技术都有一定程度上的支持，但亦有很多运行上的差距和兼容性的故障
，这导致技术开发者的批评日益增加。批评增加的情况，在很大程度上是归因于Internet
Explorer的竞争对手相对地已提供完全的技术支持，标准规格（Standards-compliant）的应用亦越来越广泛起来。因为
Internet Explorer在全球广为应用，网络开发者们在寻求 跨平台 的代码时常常会发现Internet
Explorer的漏洞、私有的功能集合和对标准支持的不完善。
2011年3月14日发布的Internet Explorer
9浏览器大幅提高对CSS3和HTML5等W3C规范的支持程度，这个版本也是Internet
Explorer浏览器第一个采用GPU加速的版本，正式版于Acid3测试中获得95/100分，相比以往版本有很大进步。可以认为，从
Internet Explorer 9开始，Internet Explorer浏览器对W3C规范的支持将不再是问题。
J — JavaScript
JavaScript 是一种广泛用于 客户端 Web开发 的 脚本语言
，常用来给HTML网页添加动态功能，比如响应用户的各种操作。它最初由 网景公司 的 Brendan Eich
设计，是一种动态、弱类型、基于原型的语言，内置支持类。JavaScript是 Sun公司 的注册商标。 Ecma国际
以JavaScript为基础制定了 ECMAScript
标准。JavaScript也可以用于其他场合，如服务器端编程。完整的JavaScript实现包含三个部分： ECMAScript ，
文档对象模型 ， 字节顺序记号 。
Netscape公司在最初将其脚本语言命名为LiveScript来Netscape在与Sun合作之后将其改名为JavaScript。
JavaScript最初受 Java
启发而开始设计的，目的之一就是“看上去像Java”，因此语法上有类似之处，一些名称和命名规范也借自Java。但JavaScript的主要设计原则
源自 Self 和 Scheme
.JavaScript与Java名称上的近似，是当时网景为了营销考虑与Sun公司达成协议的结果。为了取得技术优势， 微软 推出了 JScript
来迎战JavaScript的 脚本语言 。为了互用性， Ecma国际 （前身为 欧洲计算机制造商协会
）创建了ECMA-262标准（ECMAScript）。现在两者都属于 ECMAScript 的实现。尽管JavaScript作为给非程序人员的
脚本语言 ，而非作为给程序人员的 编程语言 来推广和宣传，但是JavaScript具有非常丰富的特性。
K — Keyword Optimization
关键词优化 ，也叫 搜索引擎优化 （ Search Engine Optimization ，简称 SEO ）是一种利用 搜索引擎
的搜索规则来提高目的 网站 在有关搜索引擎内的排名的方式。由于不少研究发现，搜索引擎的用户往往只会留意搜索结果最前面的几个条目，所以不少 网站
都希望通过各种形式来影响搜索引擎的排序。当中尤以各种依靠广告维生的网站为甚。
所谓“针对搜索引擎作优化的处理”，是指为了要让网站更容易被搜索引擎接受。搜索引擎会将网站彼此间的内容做一些相关性的数据比对，然后再由 浏览器 将这些内容以最快速且接近最完整的方式，体现给搜索者。
搜索引擎优化对于任何一家网站来说，要想在网站推广中取得成功，搜索引擎优化都是至为关键的一项任务。同时，随着搜索引擎不断变换它们的排名算法规
则，每次算法上的改变都会让一些排名很好的网站在一夜之间名落孙山，而失去排名的直接后果就是失去了网站固有的可观访问量。所以每次搜索引擎算法的改变都
会在网站之中引起不小的骚动和焦虑。可以说，搜索引擎优化是一个愈来愈复杂的任务。
L — Less
Less
最早是一个ruby的gem，让CSS具有动态语言的特性，这些特性包括变量，操作符，嵌套规则。其实Less真正的作用是将使用高级特性的CSS转换成
标准的CSS。这些都是在Web客户端发起请求时通过Http
Handler来完成的。也可以是编辑时就完成的。此外，Less可以配置成自动最小化所生成的CSS文件，不仅节省了带宽，并且使最终用户体验更上一
层。另外有.Net版本的 Less 。
M — MVC
MVC模式 （Model-View-Controller）是 软件工程 中的一种 软件架构
模式，把软件系统分为三个基本部分：模型（Model）、视图（View）和控制器（Controller）。MVC模式最早由 Trygve
Reenskaug 在1974年提出，是 施乐帕罗奥多研究中心 （Xerox PARC）在20世纪80年代为程序语言 Smalltalk
发明的一种软件设计模式。 MVC模式
的目的是实现一种动态的程序设计，使后续对程序的修改和扩展简化，并且使程序某一部分的重复利用成为可能。除此之外，此模式通过对复杂度的简化，使程序结
构更加直观。软件系统通过对自身基本部份分离的同时也赋予了各个基本部分应有的功能。
N — Node.JS
Node 是一个Javascript运行环境(runtime) ， 实际上它是对Google V8 引擎（应用于Google
Chrome浏览器)进行了封装。 V8 引
擎执行Javascript的速度非常快，性能非常好。Node对一些特殊用例进行了优化，提供了替代的API，使得V8在非浏览器环境下运行得更好。例
如，在服务器环境中，处理二进制数据通常是必不可少的，但Javascript对此支持不足，因此，V8.Node增加了Buffer类，方便并且高效地
处理二进制数据。因此，Node不仅仅简单的使用了V8,还对其进行了优化，使其在各环境下更加给力。 Node.js
包罗万象，但最主要的一点是，它提供了一种在Web浏览器之外运行Javascript的途径。Javascript广泛应用于网站的前端开发。Node
使得这种流行的编程语言能够在更多环境下运行，甚至是网站的服务器端。
O — Object
对象 （object），是 面向对象 (Object Oriented) 中的术语，既表示客观世界 问题空间
(Namespace)中的某个具体的事物，又表示软件系统 解空间 中的基本元素。在软件系统中，对象具有唯一的 标识符 ，对象包括 属性
(Properties)和 方法 (Methods)，属性就是需要记忆的信息，方法就是对象能够提供的服务。在面向对象(Object
Oriented) 的软件中，对象(Object)是某一个 类 (Class)的 实例 (Instance)。
P — PHP
PHP （ H ypertext P reprocessor ）是一种在电脑上运行的 脚本语言 ，主要用途是在于处理 动态网页
，也包含了 命令行 运行接口（command line interface），或者产生 图形用户界面 （GUI）程序。PHP最早由 Rasmus
Lerdorf 在1995年发明，而现在PHP的标准由PHP Group和开放源代码社区维护。PHP以PHP
License作为许可协议，不过因为这个协议限制了PHP名称的使用，所以和开放源代码许可协议 GPL 不兼容。
PHP的应用范围相当广泛，尤其是在网页程序的开发上。一般来说PHP大多运行在网页服务器上，通过运行PHP代码来产生用户浏览的网页。PHP可
以在多数的服务器和操作系统上运行，而且使用PHP完全是免费的。根据2007年4月的统计数据，PHP已经被安装在超过2000万个网站和100万台服
务器上。
Q — Query
查询 ，有很多种意思。例如查询语言用来和存储数据的扩展系统交互，一个很好的例子就是SQL用来操作关系数据库。另一种意思是，一个查询字符串，作为URL的一部分用于Web应用程序中传递数据，查询字符串的格式一般是键值对形式。
R — Regular Expressions
正则表达式 （ 英语 ：Regular Expression、regex或regexp，缩写为RE），也译为 正规表示法 、 常规表示法
，在 计算机科学 中，是指一个用来描述或者匹配一系列符合某个 句法 规则的 字符串 的单个字符串。在很多 文本编辑器
或其他工具里，正则表达式通常被用来检索和/或替换那些符合某个模式的文本内容。许多 程序设计语言 都支持利用正则表达式进行字符串操作。例如，在
Perl 中就内建了一个功能强大的正则表达式引擎。正则表达式这个概念最初是由 Unix 中的工具软件（例如 sed 和 grep ）普及开的。
S — Source Control
源代码管理 ，也称 版本控制 ，是一种 软件工程 技巧，借此能在软件开发的过程中，确保由不同人所编辑的同一程式档案都得到同步。 软件设计师
常会利用版本控制来追踪、维护 源码 、 文件 以及 设定档 等等的更动，并且提供控制这些更动控制权的 程序 。在最简单的情况下， 软件设计师
可以自己保留一个程式的许多不同版本，并且为它们做适当的编号。这种简单的方法已被用在很多大型的软件专案中。这是一个可以达到目的的方法，但不够有效
率。除了得同时维护很多几乎一样的 程式码 备份外；而且极度依赖 软件设计师 的自我修养与开发纪律，但这却常是导致错误发生的原因。
有时候，一个程式同时存有两个以上的版本也有其必要性，例如：在一个为了部署的版本中 程式错误
已经被修正、但没有加入新功能；在另一个开发版本则有新的功能正在开发、也有新的错误待解决，这使得同时间需要不同的版本并修改。此外，为了找出只存在于
某一特定版本中的 程式错误 、或找出 程式错误 出现的版本，软件除错者也必须借由比对不同版本的程式码以找出问题的位置。
T — TDD
测试驱动开发 （Test-driven development）是现代计算机 软件开发 方法的一种。利用 测试 来驱动 软件
程序的设计和实现。测试驱动开始流行于20世纪90年代。测试驱动开发是 极限编程
中倡导的程序开发方法，方法主要是先写测试程序，然后再编码使其通过测试。测试驱动开发的目的是取得快速反馈并使用“illustrate the
main line”方法来构建程序。
测试驱动开发的比喻。开发可以从两个方面去看待：实现的功能和质量。测试驱动开发更像两顶帽子思考法的开发方式，先戴上实现功能的帽子，在测试的辅
助下，快速实现正确的功能；再戴上 重构
的帽子，在测试的保护下，通过去除冗余和重复的代码，提高代码重用性，实现对质量的改进。可见测试在测试驱动开发中确实属于核心地位，贯穿了开发的始终。
U — Unit Testing
单元测试 （又称为 模块测试 ）是针对 程序模块 ( 软件设计 的最小单位)来进行正确性检验的测试工作。程序单元是应用的最小可测试部件。在
过程化编程 中，一个单元就是单个程序、函数、过程等；对于面向对象编程，最小单元就是方法，包括基类（超类）、抽象类、或者派生类（子类）中的方法。
通常来说，程序员每修改一次程序就会进行最少一次单元测试，在编写程序的过程中前后很可能要进行多次单元测试，以证实程序达到 软件规格书 (
en:Specification )要求的工作目标，没有 臭虫 ；虽然单元测试不是什么必须的，但也不坏，这牵涉到 项目管理 的政策决定。
V — VIM
Vim 是从 vi 发展出来的一个 文本编辑器 。代码补完、编译及错误跳转等方便编程的功能特别丰富，在程序员中被广泛使用。和 Emacs
并列成为 类Unix系统 用户最喜欢的编辑器。Vim的第一个版本由 Bram Moolenaar 在1991年发布。最初的简称是 V i
IM itation，随着功能的不断增加，正式名称改成了 V i IM proved。现在是在 开放源代码 方式下发行的 自由软件 。
W — WordPress
WordPress 是一种使用 PHP 语言开发的 博客 平台，用户可以在支持 PHP 和 MySQL 数据库
的服务器上架设自己的网志。也可以把 WordPress 当作一个 内容管理系统 （CMS）来使用。WordPress 是一个免费的 开源
项目，在 GNU通用公共许可证
下授权发布。目前最新版本为2011年2月24日发布的3.0.5官方简体中文版，另外还有包括英文在内的多种语言可选。
X — XSS
跨网站指令码 （ Cross-site scripting ，通常简称为 XSS ）是一种网站应用程式的安全漏洞攻击，允许恶意使用者将程式码注入到网页上，其他使用者在观看网页时就会受到影响。这类攻击通常包含了 HTML 以及使用者端 脚本语言 。
Y — YUI
Yahoo! UI Library ( YUI ) 是一个开放源代码的 JavaScript 函数库，为了能建立一个高互动的网页，它采用了 AJAX ， DHTML 和 DOM 等程式码技术。它也包含了许多 CSS 资源。
Z — Z index
Z-Index
是CSS属性，设置元素的堆叠顺序。拥有更高堆叠顺序的元素总是会处于堆叠顺序较低的元素的前面。该属性设置一个定位元素沿 z 轴的位置，z 轴定义为垂直延伸到显示区的轴。如果为正数，则离用户更近，为负数则表示离用户更远。
xss注入漏洞产生的原因？xss注入过程步骤是什么？防范xss注入的方法有哪些
对于的用户输入中出现XSS漏洞的问题，主要是由于开发人员对XSS了解不足，安全的意识不够造成的。现在让我们来普及一下XSS的一些常识，以后在开发的时候，每当有用户输入的内容时，都要加倍小心。请记住两条原则：过滤输入和转义输出。
一、什么是XSS
XSS又叫CSS (Cross Site Script) ，跨站脚本攻击。它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意的特殊目的。XSS属于被动式的攻击，因为其被动且不好利用，所以许多人常呼略其危害性。
在WEB2.0时代，强调的是互动，使得用户输入信息的机会大增，在这个情况下，我们作为开发者，在开发的时候，要提高警惕。
二、XSS攻击的主要途径
XSS攻击方法只是利用HTML的属性，作各种的尝试，找出注入的方法。现在对三种主要方式进行分析。
第一种：对普通的用户输入，页面原样内容输出。
打开(限公司IP)，输 入：scriptalert(‘xss’)/script， JS脚本顺利执行。当攻击者找到这种方法后，就可以传播这种链接格式的链接 （）如：http: //go.ent.163.com/goproducttest/test.jsp?key=scriptalert(‘xss’) lt;/script，并对JSCODE做适当伪装，如：
%74%3e%61%6c%65%72%74%28%27%78%73%73%27%29%3c%2f%73%63%72%69%70%74%3e,当其 它用户当点此链接的时候，JS就运行了，造成的后果会很严重，如跳去一个有木马的页面、取得登陆用户的COOKIE等。
第二种：在代码区里有用户输入的内容
原则就是，代码区中，绝对不应含有用户输入的东西。
第三种：允许用户输入HTML标签的页面。
用户可以提交一些自定义的HTML代码，这种情况是最危险的。因为，IE浏览器默认采用的是UNICODE编码，HTML编码可以用ASCII方式来写，又可以使用”/”连接16进制字符串来写，使得过滤变得异常复杂，如下面的四个例子，都可以在IE中运行。
1，直接使用JS脚本。
img src=”javascript:alert(‘xss’)” /
2，对JS脚本进行转码。
img src=”javascript:alert(‘xss’)” /
3，利用标签的触发条件插入代码并进行转码。
img onerror=”alert(‘xss’)” /
4，使用16进制来写(可以在傲游中运行)
img STYLE=”background-image: /75/72/6c/28/6a/61/76/61/73/63/72/69/70/74/3a/61/6c/65/72/74/28/27/58/53/53/27/29/29″
以上写法等于img STYLE=”background-image: url(javascript:alert(‘XSS’))”
三、XSS攻击解决办法
请记住两条原则：过滤输入和转义输出。
具体执行的方式有以下几点：
第一、在输入方面对所有用户提交内容进行可靠的输入验证，提交内容包括URL、查询关键字、http头、post数据等
第二、在输出方面，在用户输内容中使用XMP标签。标签内的内容不会解释，直接显示。
第三、严格执行字符输入字数控制。
四、在脚本执行区中，应绝无用户输入。