XSS攻击和CSRF攻击及其区别

XSS攻击

XSS（Cross Site Script，跨站脚本攻击）是向网页中注入恶意脚本在用户浏览网页时在用户浏览器中执行恶意脚本的攻击方式。
跨站脚本攻击分有两种形式：

1. 反射型攻击（诱使用户点击一个嵌入恶意脚本的链接以达到攻击的目标，目前有很多攻击者利用论坛、微博发布含有恶意脚本的URL就属于这种方式）
2. 持久型攻击（将恶意脚本提交到被攻击网站的数据库中，用户浏览网页时，恶意脚本从数据库中被加载到页面执行，QQ邮箱的早期版本就曾经被利用作为持久型跨站脚本攻击的平台）。
3. XSS虽然不是什么新鲜玩意，但是攻击的手法却不断翻新，防范XSS主要有两方面：消毒（对危险字符进行转义）和HttpOnly（防范XSS攻击者窃取Cookie数据）。

XSS的防范措施主要有三个：

1. 编码：
   对用户输入的数据进行HTML Entity 编码。
   Encode的作用是将$var等一些字符进行转化，使得浏览器在最终输出结果上是一样的。
2. 过滤：
   移除用户输入的和事件相关的属性。如onerror可以自动触发攻击，还有onclick等。（总而言是，过滤掉一些不安全的内容）移除用户输入的Style节点、Script节点、Iframe节点。（尤其是Script节点，它可是支持跨域的呀，一定要移除）。
3. 校正
   避免直接对HTML Entity进行解码。使用DOM Parse转换，校正不配对的DOM标签。

CSRF攻击

CSRF攻击（Cross Site Request Forgery，跨站请求伪造）是攻击者通过跨站请求，以合法的用户身份进行非法操作（如转账或发帖等）。
CSRF的原理是利用浏览器的Cookie或服务器的Session，盗取用户身份

令牌和验证都具有一次消费性的特征，因此在原理上一致的，但是验证码是一种糟糕的用户体验，不是必要的情况下不要轻易使用验证码，目前很多网站的做法是如果在短时间内多次提交一个表单未获得成功后才要求提供验证码，这样会获得较好的用户体验。

CSRF如何防御

1. 方法一、Token 验证：（用的最多）
   （1）服务器发送给客户端一个token；
   （2）客户端提交的表单中带着这个token。
   （3）如果这个 token 不合法，那么服务器拒绝这个请求。

2. 方法二：隐藏令牌： 把 token 隐藏在 http 的 head头中。
   方法二和方法一有点像，本质上没有太大区别，只是使用方式上有区别。

3. 方法三、Referer 验证： Referer 指的是页面请求来源。意思是，只接受本站的请求，服务器才做响应；如果不是，就拦截。

区别

1. 区别一：
   CSRF：需要用户先登录网站A，获取 cookie。XSS：不需要登录。

2. 区别二：（原理的区别）
   CSRF：是利用网站A本身的漏洞，去请求网站A的api。XSS：是向网站 A 注入 JS代码，然后执行 JS 里的代码，篡改网站A的内容。