事源近日同同事閒談時，她說女兒學校比黑客入侵，全校系統停擺對外對內都是。
所以我又重新審視 kenng.hk 現有系統的安全性，雖然我的網站內的資料沒有什麼價值，但都希望學習加強保安的知識。
什麼是 XSS 呢?
以下內容轉載自 維基百科
跨網站指令碼（英語：Cross-site scripting，通常簡稱為：XSS）是一種網站應用程式的安全漏洞攻擊，是代碼注入的一種。它允許惡意使用者將程式碼注入到網頁上，其他使用者在觀看網頁時就會受到影響。這類攻擊通常包含了HTML以及使用者端手稿語言。
XSS攻擊通常指的是通過利用網頁開發時留下的漏洞，通過巧妙的方法注入惡意指令代碼到網頁，使使用者載入並執行攻擊者惡意製造的網頁程式。這些惡意網頁程式通常是JavaScript，但實際上也可以包括Java，VBScript，ActiveX，Flash或者甚至是普通的HTML。攻擊成功後，攻擊者可能得到更高的權限（如執行一些操作）、私密網頁內容、對談和cookie等各種內容。
更多詳情可以參考以下網站:
https://www.cloudflare.com/zh-tw/learning/security/threats/cross-site-scripting
https://baike.baidu.com/item/XSS%E6%94%BB%E5%87%BB/954065
如何防範 XSS 攻擊可以詳閱以上的連結 !
我自己就使用 CSP 來做一些保障措施 , 那麼什麼是 CSP 呢?
以下內容轉載自 Mozilla.org
内容安全策略（CSP）
内容安全策略（CSP）是一个额外的安全层，用于检测并削弱某些特定类型的攻击，包括跨站脚本（XSS）和数据注入攻击等。无论是数据盗取、网站内容污染还是恶意软件分发，这些攻击都是主要的手段。
CSP 被设计成完全向后兼容（除 CSP2 在向后兼容有明确提及的不一致; 更多细节查看这里 章节 1.1）。不支持 CSP 的浏览器也能与实现了 CSP 的服务器正常工作，反之亦然：不支持 CSP 的浏览器只会忽略它，如常运行，默认为网页内容使用标准的同源策略。如果网站不提供 CSP 标头，浏览器也使用标准的同源策略。
为使 CSP 可用，你需要配置你的网络服务器返回 Content-Security-Policy HTTP 标头（有时你会看到 X-Content-Security-Policy 标头，但那是旧版本，并且你无须再如此指定它）。
除此之外，<meta> 元素也可以被用来配置该策略，例如
htmlCopy
<meta
http-equiv="Content-Security-Policy"
content="default-src 'self'; img-src https://*; child-src 'none';" />
备注：某些功能（例如发送 CSP 违规报告）仅在使用 HTTP 标头时可用。
威胁
缓解跨站脚本攻击
CSP 的主要目标是减少和报告 XSS 攻击。XSS 攻击利用了浏览器对于从服务器所获取的内容的信任。恶意脚本在受害者的浏览器中得以运行，因为浏览器信任其内容来源，即使有的时候这些脚本并非来自于它本该来的地方。
CSP 通过指定有效域——即浏览器认可的可执行脚本的有效来源——使服务器管理者有能力减少或消除 XSS 攻击所依赖的载体。一个 CSP 兼容的浏览器将会仅执行从白名单域获取到的脚本文件，忽略所有的其他脚本（包括内联脚本和 HTML 的事件处理属性）。
作为一种终极防护形式，始终不允许执行脚本的站点可以选择全面禁止脚本执行。
缓解数据包嗅探攻击
除限制可以加载内容的域，服务器还可指明哪种协议允许使用；比如（从理想化的安全角度来说），服务器可指定所有内容必须通过 HTTPS 加载。一个完整的数据安全传输策略不仅强制使用 HTTPS 进行数据传输，也为所有的 cookie 标记 secure 标识，并且提供自动的重定向使得 HTTP 页面导向 HTTPS 版本。网站也可以使用 Strict-Transport-Security HTTP 标头确保连接它的浏览器只使用加密通道。
使用 CSP
配置内容安全策略涉及到添加 Content-Security-Policy HTTP 标头到一个页面，并配置相应的值，以控制用户代理（浏览器等）可以为该页面获取哪些资源。比如一个可以上传文件和显示图片页面，应该允许图片来自任何地方，但限制表单的 action 属性只可以赋值为指定的端点。一个经过恰当设计的内容安全策略应该可以有效的保护页面免受跨站脚本攻击。本文阐述如何恰当的构造这样的标头，并提供了一些例子。
詳情可以參考以下網址:
https://developer.mozilla.org/zh-CN/docs/Web/HTTP/Guides/CSP
https://www.cnblogs.com/wuguanglin/p/XSS.html
https://aszx87410.github.io/beyond-xss/ch2/xss-defense-csp
完成後可以用以下網站測試你的 SERVER 的 CSP 策略