网站的安全性架构
XXS攻击
XSS 攻击即跨站点脚本攻击(Cross Site Script)，指黑客通过篡改网页，注入恶意HTML 脚本，在用户浏览网页时，控制用户浏览器进行恶意操作的一种攻击方式。
常见的XSS攻击类型有两种，一种是反射型，攻击者诱使用户点击一个嵌入恶意脚本的链接，达到攻击的目的，如图8.1所示。上文提到的新浪微博攻击就是一种反射型XSS攻击。攻击者发布的微博中有一个含有恶意脚本的URL(在实际应用中，该脚本在攻击者自己的服务器 ，URL 中包含脚本的链接)，用户点击该URL，脚本会自动关注攻击者的新浪微博ID，发布含有恶意脚本URL的微博，攻击就被扩散了。
这次攻击还只是一次恶作剧而已，现实中，攻击者可以采用XSS攻击，偷取用户Cookie、密码等重要数据，进而伪造交易、盗窃用户财产、窃取情报。
另外一种XSS攻击是持久型XSS 攻击，黑客提交含有恶意脚本的请求，保存在被攻击的Web 站点的数据库中，用户浏览网页时，恶意脚本被包含在正常页面中，达到攻击的目的，如图8.2所示。此种攻击经常使用在论坛，博客等Web应用中。
注入攻击
注入攻击主要有两种形式，SQL 注入攻击和OS 注入攻击。攻击者在 HTTP 请求中注入恶意 SQL 命令(drop table users;)，服务器用请求参数构造数据库SQL命令时，恶意SQL被一起构造，并在数据库中执行。
CSRF攻击
CSRF(Cross Site Request Forgery,跨站点请求伪造)，攻击者通过跨站请求，以合法用户的身份进行非法操作，如转账交易、发表评论等，如图8.4所示。CSRF的主要手法是利用跨站请求，在用户不知情的情况下，以用户的身份伪造请求。其核心是利用了浏览器Cookie或服务器Session策略，盗取用户身份。