一、XSS 跨脚本攻击
XSS(Cross Site Scripting)是跨站脚本攻击，为了区分CSS，所以缩写为XSS。XSS攻击方式是往Web页面插入恶意的 JavaScript 代码，当用户浏览网页的时候，插入的代码就是被执行，从而达到攻击的目的。
其中应用比较多的一个就是，在网页一些公用的交互区域。比如搜索的文本框，除了可以输入一些关键字，还可以输入一些 JavaScript 代码，一旦代码点击搜索，代码就会被执行，达到攻击的目的。如下例子
<script>alert(document.cookie);</script>在文本框中输入以上代码，然后点击提交，就会把用户的cookie弹出来。
XSS防范
1. 将重要的cookies标记为HTTP ONLY，让JavaScript代码无法调用，只有http能调用。或者将重要的信息保存在session里面。2. 只允许用户输入我们期望的数据。如消费金额框只能输入数字和小数点。
3. 对数据进行加密处理。
4. 过滤或者移除特殊的HTML标签，过滤JavaScript代码等。
二、CXSS 跨站请求伪造
CSRF（Cross-site request forgery）是跨站请求伪造。XSS利用站点内的信任用户，与XSS不同，CSRF是通过伪装来自受信任用户，在受信任的网站进行请求，盗取信息。其实就是攻击者盗用了受害者的身份，以受害者的名义向网站发送恶意请求。
从图中可以看出，就是在一个网站里面保留了cookie，然后访问了一些危险网站，然后被危险网站盗用了用户信息。
CSRF的防御
1.在表单里增加Hash值，以认证这确实是用户发送的请求，然后在服务器端进行Hash值验证。2.验证码：每次的用户提交都需要用户在表单中填写一个图片上的随机字符串。
3.修改，增加重要信息，比如密码，个人信息的操作，尽量使用post。避免使用get把信息暴露在url上面。
三、反爬虫
和之前的防护XSS和CSRF攻击目的不一样，反爬虫是为了防止网站重要的数据被别人拿走，比如电商的交易额，电影网站的票房统计，音乐网站的评论等。作者：守候i
链接：https://juejin.im/post/5b2f4790e51d45589e7bd63d
来源：掘金
著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。