1. CSRF
通常称为跨站请求伪造，英文名Cross-site request forgery缩写CSRF
1.1 攻击原理
实现攻击的两大关键因素:
- 网站中的某个接口存在这种漏洞
- 用户确实在A注册网站确实的登录过
1.2 CSRF防御措施
- Token验证
- Referer验证
- 隐藏令牌
2. xss
XSS (cross-site scripting跨域脚本攻击)
2.1 xss的攻击方式
1. 反射型
发出请求时，XSS代码出现在URL中，作为输入提交到服务器端,服务器端解析后响应，XSS代码随响应内容一起传回给浏览器,最后浏览器解析执行XSS代码。这个过程像一次反射，故叫反射型XSS。\
- 写入后盾接口,并关闭浏览器自动拦截xss
- 在url中输入攻击的脚本
2. 存储型
存储型XSS和反射型XSS的差别仅在于，提交的代码会存储在服务器端(数据库，内存，文件系统等)，下次请求目标页面时不用再提交XSS代码
2.2 XSS防范措施
- 编码 :对用户输入的数据进行HTML Entity编码
- 过滤
- 移除用户.上传的DOM属性，如onerror等
- 移除用户.上传的Style节点、Script节 点、Iframe节点等
- 校正
- 避免直接对HTML Entity解码
- 使用DOM Parse转换， 校正不配对的DOM标签