XSS的的危害及防范
XSS(Cross-Site Scripting)是一种安全漏洞，攻击者利用网站对用户输入验证的不足，将恶意的脚本代码“注入”到网页中。当其他用户浏览这个被感染的网页时，这些恶意脚本就会在他们的浏览器中执行。
XSS 漏洞的危害极其严重，因为它直接威胁到网站的用户，而不仅仅是服务器本身。主要风险包括：
-
窃取用户 Cookie 和会话信息
•这是最常见的目的。许多网站使用 Cookie 来管理用户登录状态（Session）。恶意脚本可以轻松读取当前网站的 Cookie 并发送到攻击者控制的服务器。
•后果：攻击者可以直接劫持用户的登录会话，无需密码即可登录该用户的账户，进行一切合法操作（如查看私信、消费、修改资料）。 -
盗用用户身份执行操作
•恶意脚本可以冒充用户，在用户不知情的情况下执行任何该用户有权进行的操作。例如：
•发帖、转账、更改密码、购买商品。
•在社交平台上以你的名义发布垃圾信息或诈骗链接。 -
网页内容篡改
•攻击者可以利用脚本随意修改网页的显示内容（DOM 操作）。
•后果：用于网络钓鱼或散播虚假信息。例如，在一个正常的银行页面上插入一个假的转账表单，诱骗用户输入自己的账号密码。 -
发起其他攻击
•键盘记录：记录用户在网页上的所有按键（如输入的密码、信用卡号）。
•窃取浏览器数据：读取浏览器自动填写的表单数据、历史记录等。
•“挖矿”：利用用户的计算机CPU资源来挖掘加密货币，导致电脑卡顿。 -
破坏网站声誉和用户体验
•如果一个网站经常被爆出XSS漏洞并导致用户受害，其信誉会严重受损，用户会流失。
如何防御 XSS？
防御的核心原则是：绝不信任用户输入！
1.输入验证与过滤：对用户提交的所有数据进行严格的检查和过滤，拒绝或清理掉任何可疑的HTML标签和JavaScript代码。
2.输出转义：在将用户输入的数据呈现到页面上之前，根据其所在的上下文（HTML、JavaScript、CSS、URL）进行正确的转义。例如，将 <转义为 <，这样浏览器就不会将其解析为标签。
3.使用安全策略：内容安全策略 (CSP)：这是一个非常重要的HTTP响应头。它可以告诉浏览器只允许执行来自特定可信来源的脚本，从根本上杜绝内联脚本（）的执行，极大增加攻击难度。
4.使用安全框架：现代前端框架（如 React, Vue, Angular）在默认情况下都会自动对输出进行转义，为开发者提供了第一道良好的防护。
总结来说，XSS 是一种允许攻击者在受害者的浏览器中执行恶意代码的严重漏洞，主要风险是窃取用户身份、数据和个人信息。 对于任何涉及用户交互的网站，防御XSS都是重中之重。
CSRF
CSRF 的全称是 Cross-Site Request Forgery，中文译为 跨站请求伪造。它是一种网络攻击方式。攻击者利用用户已登录目标网站（如银行、邮箱、社交网络）的身份认证状态，诱骗用户访问一个恶意网站或点击一个链接，从而在用户不知情的情况下，以用户的身份向目标网站发送一个伪造的请求，执行非本意的操作。
CSRF 的危害非常严重，因为攻击者是以合法用户的身份执行操作，难以被追踪。主要危害包括：
1.个人隐私与数据泄露：
•攻击者可以以你的身份发送邮件、发送消息、访问私密内容。
2.财产损失：
•转账：伪造一个从你的账户向攻击者账户转账的请求。
•消费：在电商网站用你的账户下单购物。
3.数据篡改：
•修改账户信息：更改你的邮箱、地址、密码，从而完全接管你的账户。
•发布内容：在社交平台、论坛上以你的名义发布虚假信息、垃圾广告或不当言论。
4.业务逻辑滥用：
•利用网站的某些功能进行恶意操作，如“投票”、“点赞”、“抽奖”等。
总之，攻击者能在你已登录的网站上做什么，CSRF 攻击就有可能做到什么。
防御CSRF的核心思路是：增加一个攻击者无法伪造的“凭证”。
- CSRF Tokens（最常用、最有效）: 服务器为每个用户会话生成一个随机、不可预测的Token（令牌），嵌入在表单或请求头中。服务器处理请求时验证此Token，不匹配则拒绝。
- SameSite Cookie（现代浏览器首选）: 设置Cookie的SameSite属性。设为Strict或Lax后，浏览器会在跨站请求中禁止或限制发送Cookie，从根源上切断CSRF。
- 验证 Origin/Referer 头服务器检查请求头中的Origin或Referer字段，判断请求是否来自合法的源（自己的域名）。
- 双重认证对敏感操作（如转账、改密）要求用户进行二次验证（如输入短信验证码、密码）。
给开发者的建议：
1.首选组合：SameSite Cookie+ CSRF Token。这是目前最坚固的防御方案。
•设置 SameSite=Lax可防御大多数常见的CSRF攻击。
•对关键操作（如POST请求）使用CSRF Token作为最终保障。
2.切勿使用：GET请求来执行有副作用的操作（如修改数据）。严格遵循HTTP动词规范（GET用于读取，POST/PUT/DELETE用于修改）。