CSRF、XSS
CSRF:
基本概念和缩写
攻击原理
防御措施
① 基本概念和缩写
CSRF:通常称为跨站请求伪造，英文名：cross-site request forgery缩写CSRF
② 攻击原理
③ 防御措施
Token 验证
Feferer 验证
隐藏令牌
XSS
基本概念和缩写
XSS（cross-site scripting 跨域脚本攻击）
攻击原理：http://www.imooc.com/learn/812
防御措施：http://www.imooc.com/learn/812
XSS的攻击方式
反射型，存储型
反射型：发出请求时，XSS代码出现在URL中，作为输入提交到服务器端，服务器解析后响应，XSS代码随响应内容一起传回给浏览器，最后浏览器解析执行XSS代码。这个过程向一次反射，所以叫反射型XSS。
存储型：存储型XSS和反射型XSS的差别仅在于，提交的代码会存储在服务器端（数据库，内存，文件系统等），下次请求目标页面时不用再提交XSS代码。
防范措施：
编码：对用户输入的数据进行HTML Entity编码
过滤：移除用户上传的Dom属性，如onerror等，移除用户上传的style节点，script节点，Iframe节点等。
校正：避免直接对HTML Entity解码，使用Dom Parse转换，校正不配对的Dom标签。
