XSS 和 CSRF

XSS，即 Cross Site Script，中译是跨站脚本攻击，是指攻击者在网站上注入恶意的客户端代码，通过恶意脚本对客户端网页进行篡改，从而在用户浏览网页时，对用户浏览器进行控制或者获取用户隐私数据的一种攻击方式。防范：

1. HttpOnly 防止劫取 Cookie
2. 输入检查，对于用户的任何输入要进行检查、过滤和转义。建立可信任的字符和 HTML 标签白名单，对于不在白名单之列的字符或者标签进行过滤或编码。
3. 输出检查，在变量输出到 HTML 页面时，可以使用编码或转义的方式来防御 XSS 攻击。

CSRF，即 Cross Site Request Forgery，中译是跨站请求伪造，是一种劫持受信任用户向服务器发送非预期请求的攻击方式。防范：

1. 使用验证码强迫用户与应用交互，进行意愿验证
2. Referer Check
3. Set-Cookie: SameSite；

SameSite 值：Strict、Lax、None

XSS 篡改网站，CSRF 冒充用户。XSS 的 Cross Site主要是指在本网站运行了来自其他网站的脚本，而 CSRF 的Cross Site则相反，指在其他网站对本网站造成了影响。跟 XSS 相比，XSS 利用的是用户对指定网站的信任，CSRF 利用的是网站对用户网页浏览器的信任。

Cookie 的 SameSite 属性