xss 论坛网站评论里输入一些alert,其他用户都会看到。所以做过滤,或者以字符输出,不渲染HTML csrf 用户登录了银行,又打开了一个会调用转账接口的网站,就可能会出发转账。防止的办法就是csrf_token