-
XSS攻击：攻击者通过网页输入漏洞向后端或数据库注入恶意执行代码，有的可以对数据库进行操作，有的会形成可执行脚本，在返回给正常用户时，恶意执行脚本可直接获取用户cookies，造成信息泄露，攻击者可利用cookies执行转账汇款等敏感操作
-
基本防范：不信任任何用户输入，输入必须进行转义过滤；在cookies中设置HttpOnly属性，使攻击者无法通过脚本获取cookies信息
-
CSRF攻击：用户在登录了受信任站点后，点击了恶意站点，此时恶意站点可以借用该用户身份进行各种敏感操作
-
基本防范：限制get请求，尽量使用post请求；将cookies设置为HttpOnly；请求中增加token验证
※ token之所以防范CSRF攻击，主要因为攻击者无法直接获取cookies中的token信息，故无法在敏感操作的请求中加上token信息，会被服务器拒绝请求。
