1.Csrf攻擊概念：
csrf攻擊(Cross-site request forgery):跨站請求偽造;
2.Csrf攻擊原理:
用戶是網站A的注冊用戶，且登錄進去，於是網站A就給用戶下發cookie。
從上圖可以看出，要完成一次CSRF攻擊，受害者必須滿足兩個必要的條件：
（1）登錄受信任網站A，並在本地生成Cookie。（如果用戶沒有登錄網站A，那么網站B在誘導的時候，請求網站A的api接口時，會提示你登錄）
（2）在不登出A的情況下，訪問危險網站B（其實是利用了網站A的漏洞）。
我們在講CSRF時，一定要把上面的兩點說清楚。
溫馨提示一下，cookie保證了用戶可以處於登錄狀態，但網站B其實拿不到 cookie。
舉個例子，前端事假你，微博網站有個api接口有漏洞，導致很多用戶的粉絲暴增。
3.Csrf如何防御
方法一、Token 驗證：（用的最多）
（1）服務器發送給客戶端一個token；
（2）客戶端提交的表單中帶着這個token。
（3）如果這個 token 不合法，那么服務器拒絕這個請求。
方法二：隱藏令牌：
把 token 隱藏在 http 的 head頭中。
方法二和方法一有點像，本質上沒有太大區別，只是使用方式上有區別。
方法三、Referer 驗證：
Referer 指的是頁面請求來源。意思是，只接受本站的請求，服務器才做響應；如果不是，就攔截。
4.XSS
1、XSS的基本概念
XSS（Cross Site Scripting）：跨域腳本攻擊。
接下來，我們詳細講一下 XSS 的內容。
預備知識：HTTP、Cookie、Ajax。
2XSS的攻擊原理
XSS攻擊的核心原理是：不需要你做任何的登錄認證，它會通過合法的操作（比如在url中輸入、在評論框中輸入），向你的頁面注入腳本（可能是js、hmtl代碼塊等）。
最后導致的結果可能是：
盜用Cookie破壞頁面的正常結構，插入廣告等惡意內容D-doss攻擊XSS的攻擊方式
1、反射型發出請求時，XSS代碼出現在url中，作為輸入提交到服務器端，服務器端解析后響應，XSS代碼隨響應內容一起傳回給瀏覽器，最后瀏覽器解析執行XSS代碼。這個過程像一次反射，所以叫反射型XSS。
2、存儲型存儲型XSS和反射型XSS的差別在於，提交的代碼會存儲在服務器端（數據庫、內存、文件系統等），下次請求時目標頁面時不用再提交XSS代碼。
XSS的防范措施（encode + 過濾）
3、XSS的防范措施主要有三個：
1、編碼：
對用戶輸入的數據進行HTML Entity編碼。
如上圖所示，把字符轉換成 轉義字符。
Encode的作用是將
$var
等一些字符進行轉化，使得瀏覽器在最終輸出結果上是一樣的。
比如說這段代碼：
<script>alert(1)</script>
若不進行任何處理，則瀏覽器會執行alert的js操作，實現XSS注入。
進行編碼處理之后，L在瀏覽器中的顯示結果就是
<script>alert(1)</script>
，實現了將$var作為純文本進行輸出，且不引起JavaScript的執行。
參考鏈接：4類防御XSS的有效方法
2、過濾：
移除用戶輸入的和事件相關的屬性。如onerror可以自動觸發攻擊，還有onclick等。（總而言是，過濾掉一些不安全的內容）移除用戶輸入的Style節點、Script節點、Iframe節點。（尤其是Script節點，它可是支持跨域的呀，一定要移除）。3、校正
避免直接對HTML Entity進行解碼。使用DOM Parse轉換，校正不配對的DOM標簽。備注：我們應該去了解一下
DOM Parse
這個概念，它的作用是把文本解析成DOM結構。
比較常用的做法是，通過第一步的編碼轉成文本，然后第三步轉成DOM對象，然后經過第二步的過濾。
還有一種簡潔的答案：
首先是encode，如果是富文本，就白名單。
CSRF 和 XSS 的區別
面試官還可能喜歡問二者的區別。
區別一：
CSRF：需要用戶先登錄網站A，獲取 cookie。XSS：不需要登錄。區別二：（原理的區別）
CSRF：是利用網站A本身的漏洞，去請求網站A的api。XSS：是向網站 A 注入 JS代碼，然后執行 JS 里的代碼，篡改網站A的內容。