js[xss攻击和csrf攻击的原理以及防御措施]

1.XSS

XSS：跨站脚本

用户通过表单输入框等手段输入js脚本，在浏览器或者服务器运行起来从而起到盗用其他用户信息，注入广告等破坏页面结构的行为手段。

XSS防范措施

防御的核心无非就是限制或者对用户输入的内容进行一些专项处理之后在保存或者返回。

1. 编码转义：对用户输入的数据进行转义，实现输入什么就显示什么
2. 输入过滤：对用户输入的数据进行一定的专项过滤，如：过滤移除< script >< /script >标签 onclick事件等。
3. 谨慎对待富文本，不将富文本输入权限交予普通用户，同时对富文本的输入内容要进行校正与检验。

2.CSRF

CSRF：跨站请求伪造

跨站请求伪造攻击，必须达成两个必要的条件才能进行
1.登录受信任网站A，并在本地生成Cookie
2.在不登出A的情况下，访问危险网站B
原理是利用受信任网站A的登录漏洞，危险网站B通过诱导拿到登录状态的Cookie对A网站进行访问，从而达到B网站人员获取用户在A网站的各种信息与相关api操作的目的。

CSRF防范措施

1. 验证 HTTP Referer 字段；Referer 指的是页面请求来源。意思是，只接受本站的请求，服务器才做响应；如果不是，就拦截。
2. 在请求地址中添加 token 传递，后端用ssession保存token并验证；
3. 在 HTTP 头中自定义属性并验证

3.两者区别

1.csrf需要登录并获取用户信息，而xss不需要
2.csrf本身是利用网站的登录漏洞攻击，xss是提供js代码注入篡改网站攻击