什么是 Headless CMS?
Headless CMS 是一种 CMS（内容管理系统）架构型态, 它是把后端管理系统和前端显示系统分别独立开发、部署的一种模式。该模式下，前端可以以各种方式（Web、移动开发套件、其他系统等）从 Headless CMS 后端获取数据。通过这种方式，从头开始构建前端，开发人员可以根据应用程序的特定要求进行更好的控制和优化。
XSS 攻击介绍
XSS（Cross-site scripting）攻击是一种通过恶意脚本在用户浏览器上运行的，跨站点脚本攻击。攻击者通常为了盗取用户的信息（例如用户的 Cookie、Session ID、输入的密码、交易信息等）而进行此类攻击。
常见的 XSS 攻击包括：
- Reflected Cross-site scripting：利用 Web 应用程序把用户输入的数据回显到页面上的一个漏洞（例如输入框）中，攻击者可以注入一些恶意的脚本，当其它用户浏览到这个页面时即可触发攻击。
- Stored Cross-site scripting：攻击者将恶意脚本提交到服务器，当用户请求时，脚本会被存储到服务器，并随着请求返回给客户端浏览器，由于恶意脚本存储在服务器上，并不需要用户触发，因此被称之为存储性 XSS 攻击。
- DOM-based Cross-site scripting：该类型攻击具有相当高的误判率，攻击者将他们的恶意 JS 脚本发送给用户，在用户的浏览器中被执行，脚本可通过 Document Object Model（DOM）库来访问页面中的对象，从而进行攻击。
Headless CMS 系统中的 XSS 防范
1. 输入验证
在你的 Headless CMS 中，首先必须进行合适的输入验证，确保不会允许恶意或意外数据去修改或访问您的数据。前端数据验证也不能满足所有情况，服务器也要对输入进行相应的校验。您应该始终检查用户数据的内容和形式，或要求使用者上传的数据，并对其进行过滤或有效化等处理。
-- ---- -------- --------------- - ------ ------------------------------ ---- -
2. CSP 策略
CSP (Content Security Policy) 是一个浏览器的安全特性, 用于掌控浏览器中的资源加载行为，从而限制恶意攻击。CSP 策略定义了可以验证和批准用于当前页面启用的特定源列表。通过 CSP，您可以定义從哪些特定源加载文件，从而可以防止来自不受信任的来源的客户端脚本加载。例如：
------------------------ ---------- ------ -----------------------
上面的示例中，在您的网站代码中，您可以配置 CSP策略，用于指定允许加载代码的网站来源。
3. JavaScript 库
使用JavaScript 库可能会有潜在的风险。虽然一些流行的前端框架和库（如 React 和 Angular）具有内置的安全性措施，但并不是所有的库都能保证其代码质量。您需要确保您的代码库是有适当的质保，以保证它们没有被恶意修改。
4. 跨站请求伪造
跨站请求伪造（CSRF, Cross Site Request Forgery）是一种 Web 应用程序的安全漏洞，攻击者可以强制在 Web 应用程序上执行未经过认证的操作。常见的 CSRF 攻击场景为：被欺骗的用户转移到了非他们原意的类似于重置密码或者购买某物等页面，从而触发这些操作。
应保证对于需要执行敏感或修改操作的程序，确保对请求进行恰当的身份验证和授权，防范 CSRF 攻击。
结论
Headless CMS 提供了方便和灵活性。虽然它们的前端在开发上提供了更多的自由，但它们也带来了更多的风险。采取以上的预防措施可以避免大多数 XSS 攻击在网站中带来风险。
来源：JavaScript中文网 ，转载请注明来源 本文地址：https://www.javascriptcn.com/post/6710570e5f5512810269ff99