什么是安全攻击？

不安全的应用可能会使用户和系统遭受各种类型的损害。如果恶意方利用漏洞或缺少安全功能来造成损害，就称为攻击。在本指南中，我们将介绍不同类型的攻击，以便您在保护应用时知道需要注意什么。

主动攻击与被动攻击

攻击可分为两种类型：主动攻击和被动攻击。

主动攻击

在主动攻击中，攻击者会尝试直接入侵应用。攻击者可以通过多种方式实现此目的，从使用虚假身份访问敏感数据（假冒攻击）到向您的服务器发送大量流量使您的应用无响应（拒绝服务攻击）。

攻击者还可以对传输中的数据进行主动攻击。攻击者可能会在您的应用数据到达用户浏览器之前对其进行修改，在网站上显示经过修改的信息，或将用户重定向到不想访问的目的地。这有时称为修改消息。

被动攻击

在被动攻击中，攻击者会尝试从应用中收集或获取信息，但不会影响应用本身。

假设有人在偷听您与亲朋好友的对话，收集有关您的个人生活、您的好友是谁以及您经常光顾哪些地方的信息。您也可以对网络流量执行相同的操作。攻击者可能会捕获浏览器与服务器之间的数据，收集用户名和密码、用户的浏览记录以及交换的数据。

防御攻击

攻击者可以直接破坏您的应用或在您或用户不知情的情况下在您的网站上执行恶意操作。您需要一些机制来检测和防范攻击。

很遗憾，没有任何单一解决方案可以让您的应用 100% 安全。在实践中，许多安全功能和技术会分层使用，以防止或进一步延迟攻击（这称为纵深防御）。如果您的应用包含表单，您可以先在浏览器中检查输入，然后在服务器上检查，最后在数据库中检查；您还可以使用 HTTPS 来保护传输中的数据。

小结

由于许多攻击都不会直接攻击您的服务器，因此有时很难检测是否正在发生攻击。好消息是，网络浏览器已经内置了强大的安全功能。如需了解详情，请参阅下一个主题“浏览器如何防范攻击”。