一、xxs跨站攻击
（ 在浏览器加载非法脚本）
反射型：指发生请求时，XSS代码出现在请求URL中，作为参数提交到服务器，服务器解析并响应。响应结果中包含XSS代码，最后浏览器解析并执行。（cookie获取）
存储型：例如储存到数据库中，然后当我们再次访问相同页面时，将恶意脚本从数据库中取出并返回给浏览器执行。这就意味着只要访问了这个页面的访客，都有可能会执行这段恶意脚本，因此储存型XSS的危害会更大。（比如留言板）
DOM ：不需要服务器端参与，完全是在客户端完成
防御
- 输入输出的过滤和数据转义
- HttpOnly Cookie。预防XSS攻击窃取用户cookie最有效的防御手段。Web应用程序在设置cookie时，将其属性设为HttpOnly
二、CSRF跨站点请求伪造
攻击者盗用了你的身份，以你的名义发送恶意请求
你在A网站登陆，有一个人诱惑你点击广告，这时候他可以获取你cookie的情况，然后向服务器发送请求。
防御
参考：https://blog.csdn.net/stpeace/article/details/53512283
- 验证 HTTP Referer 字段；
- 在请求地址中添加 token 并验证；
- 在 HTTP 头中自定义属性并验证。
三、SQL注入攻击
就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。
防御
后台：采用sql语句预编译和绑定变量，是防御sql注入的最佳方法