XSS (Cross-Site Scripting) 攻击
XSS攻击是一种常见的web安全漏洞，攻击者通过注入恶意脚本（通常是JavaScript）到受害者的浏览器中执行。这种攻击通常利用了web应用未能充分验证或净化用户输入的地方，导致恶意脚本在不知情的用户浏览器环境下被执行。攻击者可能借此盗取用户cookies、进行会话劫持、重定向用户到恶意网站，甚至控制受害者账户。
防范XSS攻击的措施：
- 输入验证与净化：对所有用户提交的数据进行严格的验证和过滤，去除或转义潜在的危险字符和标签，确保输入的数据不包含任何恶意脚本。
- 输出内容编码：对所有动态生成的页面内容进行适当的HTML实体编码，特别是那些可能包含用户输入的内容。
- HTTPOnly Cookie：设置HttpOnly属性的cookie，使得攻击者即使通过XSS获得cookie也无法通过JavaScript读取。
- 内容安全策略（CSP, Content Security Policy）：通过CSP，可以限制浏览器仅加载可信源的资源，从而防止恶意脚本注入和执行。
CSRF (Cross-Site Request Forgery) 攻击
CSRF攻击则是指攻击者诱使已登录用户在不知情的情况下执行某种操作，通常是通过构建一个恶意网页，诱导用户点击链接或执行JavaScript代码，从而向受信任的网站发送伪造的HTTP请求。攻击者利用的是用户已有的会话身份信息（如session cookie）来进行未经授权的操作。
防范CSRF攻击的措施：
- CSRF Tokens：服务器在用户登录后生成一个随机的、一次性使用的令牌（CSRF token），并将此令牌附带在表单提交或者Ajax请求中。服务器端在处理请求时验证此令牌的有效性。
- 双重验证：对于重要的操作，要求用户提供额外的身份验证信息，如验证码或者其他形式的二次确认。
- Referer/Origin Header检查：检查请求的Referer或Origin头部，判断请求是否来自于预期的源，但这并不十分可靠，因为并非所有浏览器都支持或强制发送这些头部信息。
- SameSite Cookie属性：设置Cookie的SameSite属性，它可以限制第三方网站无法携带该Cookie发起请求，一定程度上缓解CSRF攻击。
结合这些防御措施，开发者能够大大降低XSS和CSRF攻击的风险，提高web应用的安全性。同时，定期进行安全审计和测试也是保持系统安全的关键环节。
