在前端开发中，是不是经常会一些人说到 XSS 和 CSRF，那么他们到底是什么呢？本章我们将来详细介绍一下这两种常见的漏洞或者说是攻击方式。
XSS
XSS，即跨站脚本攻击（Cross-Site Scripting），攻击者通过注入恶意脚本代码到受害者的浏览器中，从而在用户浏览网页时执行这些恶意代码。XSS 攻击通常利用了应用程序未正确验证或转义用户输入的漏洞，导致恶意脚本在受害者浏览器中执行，盗取用户的敏感信息、执行操作，甚至获取用户的会话凭证。
XSS 攻击有以下三种主要类型：
- 存储型 XSS（Stored XSS）： 恶意脚本被存储在服务器上，并在用户访问特定页面时被加载和执行。
- 反射型 XSS（Reflected XSS）： 恶意脚本作为 URL 参数传递给服务器，然后服务器将该脚本返回给用户浏览器，并在用户访问页面时执行。
- DOM 型 XSS（DOM-based XSS）： 恶意脚本直接操作浏览器的文档对象模型（DOM），通过修改页面内容来实现攻击。
通过对用户输入进行适当的验证和转义，具体可以采用：
- 输入验证与过滤： 对用户输入进行严格的验证和过滤，确保输入数据只包含预期的字符和格式，例如，使用正则表达式或白名单来验证输入。
- 转义输出数据： 在将用户输入或其他不可信数据渲染到页面时，使用适当的转义函数来确保恶意代码不会被执行。
- 避免直接执行用户输入： 尽量避免直接执行用户输入的代码，如使用 eval() 函数或 innerHTML 属性，以防止执行恶意脚本。
CSRF
CSRF，即跨站请求伪造（Cross-Site Request Forgery），攻击者通过欺骗受害者在已登录的状态下执行恶意操作，从而执行非法请求。CSRF 攻击通常利用了用户在登录状态下的身份验证凭证，攻击者通过构造恶意请求，让用户在不知情的情况下执行这些请求。
以下为 CSRF 常见的攻击步骤：
- 用户登录目标网站并保留了登录状态。
- 攻击者诱使用户点击恶意链接或访问恶意网站。
- 恶意网站向目标网站发送请求，利用用户的身份验证凭证执行某些操作。
前端开发者可以采用随机令牌和验证请求来源等措施来防止 CSRF 攻击，如：
- 使用 CSRF 令牌： 在每个表单或请求中包含一个随机生成的 CSRF 令牌，并将其与用户的会话关联。服务器在接收到请求时验证令牌的有效性，如果令牌无效，则拒绝请求。
- 同源策略： 利用同源策略，确保只有来源于相同域名的请求才能访问敏感操作，从而阻止跨站请求伪造攻击。
通过采取这些防御措施和最佳实践，可以显著降低网站被攻击的风险，确保您的应用程序和用户的安全。
