Angular如何处理XSS或CSRF？

Question

Angular（2）如何处理XSS和CSRF。它能处理这些攻击吗？如果是这样，我需要做什么才能使用这种保护？如果没有，我是否必须在服务器中处理所有这些攻击，或者以某种方式在前端使用TypeScript？

我读到过你必须使用“with凭据：true”，但我不太确定将这段代码放在哪里，或者它是否是我正在寻找的。

在https://angular.io/的网页中，我没有找到任何关于这个的东西（或者我只是错过了）。

Answer 1

以下是使用SpringBoot时如何在后端/服务器端实现中处理CSRF的简要指南

CSRF中的令牌可以与HttpSession或cookie相关联

要像饼干一样处理，我们可以通过

.csrfTokenRepository(new CookieCsrfTokenRepository())

要作为HttpSession处理，我们可以通过

.csrfTokenRepository(new HttpSessionCsrfTokenRepository())   

甚至我们也可以通过嵌入CsrfTokenRepository来拥有一个自定义的csrf令牌存储库，以防我们需要跳过特定的url等

当重写WebSecurity配置适配器的配置方法时，可以使用上述所有方法

Answer 2

对于Angular中提到的服务器端，您可以使用Express处理的CSRF：

app.use(express.csrf())
app.use(function (req, res, next) {
  res.cookie('XSRF-TOKEN', req.session._csrf);
  res.locals.csrftoken = req.session._csrf;
  next();
})

不确定在新的HttpClientXsrfModule中是否仍然需要它。在app.module的客户端只添加以下内容可能就足够了（但需要确认）：

HttpClientXsrfModule.withOptions({
  cookieName: 'XSRF-TOKEN',
  headerName: 'X-XSRF-TOKEN'
})

Answer 3

Angular2提供内置、默认启用*、抗XSS和CSRF/XSRF保护。

DomSaniizationService负责删除危险位以防止XSS攻击。

CookieXSRFStrategy类（在XHRConnection类中）负责防止CSRF/XSRF攻击。

*请注意，客户端默认启用CSRF/XSRF保护，但仅当后端在用户进行身份验证时将名为XSRF-TOKEN的cookie设置为随机值时才有效。有关Cookie到Header令牌模式的更多信息，请阅读。

更新：官方Angular2安全文件：https://angular.io/docs/ts/latest/guide/security.html（感谢Martin Probst的编辑建议！）。