跨站脚本攻击（XSS）和跨站请求伪造（CSRF）是两种常见的Web安全攻击。
XSS攻击
XSS攻击指的是攻击者向Web页面中注入恶意代码，当用户访问该页面时，恶意代码会被执行，从而导致各种安全问题。XSS攻击通常分为以下三种类型：
存储型XSS：攻击者将恶意脚本存储在服务器端，当用户访问包含该脚本的页面时，脚本会被执行。
反射型XSS：攻击者将恶意脚本作为参数注入到URL中，当用户访问包含该参数的页面时，脚本会被执行。
DOM型XSS：攻击者通过修改页面的DOM结构来注入恶意脚本，当用户访问页面时，脚本会被执行。
CSRF攻击
CSRF攻击指的是攻击者利用用户在已登录的情况下进行操作的漏洞，向Web应用程序发送恶意请求，从而达到攻击的目的。具体来说，攻击者会在第三方站点上放置一个钓鱼链接，当用户点击该链接时，会向Web应用程序发送恶意请求，而用户并不知情。
XSS攻击和CSRF攻击的区别在于攻击的目标不同。XSS攻击的目标是攻击用户，窃取用户的敏感信息；而CSRF攻击的目标是攻击Web应用程序，执行未授权的操作。
底层原理方面，XSS攻击是通过在Web页面中注入恶意脚本来实现的，而CSRF攻击是通过构造恶意请求来实现的。对于XSS攻击，防御的主要方式是对用户输入进行过滤和转义，避免恶意脚本的注入；对于CSRF攻击，防御的主要方式是在请求中加入验证信息，确保该请求是来自合法的用户。
