web浏览器停止运行此脚本 关于浏览器安全,你需要知道的那些知识点!
HttpOnly 是另一个应用给cookie的标志，而且现在所有浏览器都支持它。他的作用就是指示浏览器禁止任何脚本访问cookie内容，从而降低通过JavaScript发起的XSS攻击。
4.X-Content-Type-Options
浏览器可以使用各种检测技术来判断服务器返回了什么类型的内容，然后浏览器会执行一些与该内容类型相关的操作。而nosniiff指令可以禁止浏览器的上述行为，强制浏览器按照Content-Type来渲染内容。
例如，如果一个服务器给一个script标签返回的响应中带有nosniff指令，那么除非响应类型为application/javascript，否则浏览器会忽略掉此响应内容。这对于一些允许上传的网站来说，是十分重要的。这是因为比如说一个网站允许上传的是图片，但是在这个图片中，你又加入了执行脚本，然后如果没有nosniff指令web浏览器停止运行此脚本，浏览器会将图片按照脚本来进行解释，从而造成安全隐患，这也算是文件上传漏洞吧。从浏览器安全角度来看，很可能有人利用这一点来控制服务器。
5.Strict-Transport-Security
这个HTTP首部指示浏览器必须通过有效的HTTPS通道与网站通信。如果是一个不安全的连接，则用户不可能接收HTTPS错误并继续浏览网站。同样，浏览器会解释错误，并且不允许用户继续浏览，他的目的就是强制让你用HTTPS访问，减少http访问的不安全性
6. X-Frame-Options
X-Frame-Options用于阻止浏览器中的页面内嵌框架。浏览器在看到这个首部后，应该保证不把接收到的页面显示在一个IFrame中。
这个首部的目的就是防止发生界面伪装攻击，其中之一就是点击劫持，这种攻击是把诱导界面放在一个完全透明的前景框架窗口中，而用户以为自己电机的是下方不透明（被攻击）的页面，实际上电机的却是透明的前景（诱导）页面。
2.2 反射性XSS过滤
这个浏览器安全特性将试图检测、阻止反射性XSS。浏览器会尝试的被动的发现已经成功的反射型XSS攻击，然后清除响应中的脚本。更多情况是阻止他们执行
2.3 沙箱沙箱机制
一般情况下，一个应用程序可以访问机器上的所有资源，但这样会存在安全隐患，因此，我们必须要对这个应用程序的运行环境进行限制，来保证安全性，这就是沙箱机制。相当于是把一个应用程序的活动范围限制在一个箱子里面，这样这个应用程序相对来说就比较安全。
浏览器沙箱
所谓浏览器沙箱，它隔开的是操作系统赋予的浏览器的权限和在浏览器中运行子程序的权限。
所以要想完全拿下浏览器，至少要两步。第一步是找到浏览器上的漏洞，第二步是突破沙箱，也称之为绕开沙箱
当然，有的浏览器沙箱是将不同进程下打开的不同网站隔离起来，是的恶意网站很难影响其他网站以及操作系统。
绕开沙箱之所以能够得逞，通常是因为==编译后的代码种类庞杂，而且攻击者意图破坏整个进程。==这种情况下，沙箱有效性的标志就是他能否阻止被破坏的执行路径取得全部进程的权限。
IFrame沙箱
作为一种机制，IFrame框架可以显示来自不同源且不被信任的内容，也可以显示同源不被信任的内容，所以这个框架就存在很大的问题和漏洞
HTML5针对于IFrame沙箱提出的建议，就是开发者对于IFrame只有最低维度的权限，所以他就不可以干坏事了呀。
沙箱IFrame指的是给这个嵌入的帧添加一个HTML5属性，一旦有了这个属性，就不能在其中使用表单，执行的脚本，而且局限于只能有一个来源进行通信。
2.4 反网络钓鱼和反恶意软件
网络钓鱼就是指通过伪造在线内容来窃取用户个人信息的行为。很多组织都会公布钓鱼网站的信息，而浏览器可以利用这些信息，在他访问一个网站的时候，会将其与恶意站点进行比对。如果检测到要访问的网站是一个钓鱼网站，那他就停止访问。
