xss （Cross Site Scripting）跨站脚本攻击

发生在输入框、浏览器地址栏等输入域中，攻击者通过这些地址，向用户的可能访问的页面植入一些可执行的脚本。

• 等用户打开页面的时候，脚本会自动执行，获取用户的信息，比如cookie。
• 或者自动修改被访问的页面结构，隐式的提客户端发起一些请求。
• 或者自动弹出一些界面诱惑客户点击。让客户访问具备攻击性的地址。

xss 防御

• 服务端对客户的输入需要进行过滤，比如浏览器的标签，js代码，sql 等等
• 服务端设置 httpOnly 为true，可以禁止客户浏览器访问当前的cookie。

csrf攻击 跨站请求伪造

一般实在用户登录了某网站 A 之后，访问了一些具有攻击性的网站B。如果网站A 存在csrf漏洞，那么 网站B
可能会以用户的名义 向网站A 发起一条请求，在用户不知情的情况下， 修改了用户的关键信息。

csrf防御

• 请求中校验Refer
• 请求中增加token，并校验
• 请求中增加自定义属性并验证
• 增加验证码机制，提示用户即将进行的操作