xss
（这哥们讲的很棒——www.bilibili.com/video/av325…
攻击类型：
1.反射型和DOM型：主要是针对URL的恶意构建，脚本攻击——需要对URL进行过滤(部分浏览器过滤)。
2.存储型：一般发生在用户输入的未知内容，存储到数据库中——需要对用户输入的内容进行过滤。
防御措施：
1.尽量不要使用URL中的代码，或者做好转译
2.CSP内容安全策略建立访问资源白名单Content-Security-Policy(纯前端和web服务器配置)
3.敏感信息的保护 cookie localstrage
CSRF
（这哥们讲的很棒——www.bilibili.com/video/BV1iW…
攻击类型：
1.GET接口请求，静态资源的请求a/img
2.POST接口，隐藏的表单POST提交
防御措施：
1.同源检测
2.CSRF Token
3.双重 Cookie
4.设置 cookie 属性的时候设置 Samesite
