简述 CSRF 攻击 ？XSS 攻击？如何防范？
参考答案：
CSRF（跨站点请求伪造）攻击和XSS（跨站脚本）攻击都是网络安全领域常见的攻击方式，它们各自具有独特的攻击原理和特点。下面将对这两种攻击进行简述，并介绍一些常见的防范措施。
CSRF攻击：
CSRF攻击是一种利用用户在已登录的Web应用程序上的身份，通过伪造用户请求来执行未经授权的操作的攻击方式。攻击者通常利用用户在Web应用程序中已获得的身份验证令牌，通过欺骗用户点击恶意链接或打开恶意页面，从而执行恶意请求。这些恶意请求可能导致用户在不知情的情况下更改密码、转移资金或执行其他敏感操作。
为了防范CSRF攻击，可以采取以下措施：
- 使用随机令牌：在每次向目标网站发送请求时，携带一个随机生成的令牌。目标网站在处理请求时会校验该令牌的有效性，如果无效则拒绝请求。这样，攻击者无法伪造有效的令牌，从而避免了CSRF攻击。
- 验证HTTP请求头：检查请求是否来自合法的源或是否包含正确的引用者信息，以确保请求是由合法的用户发起的。
- 避免在GET请求中处理敏感操作：因为GET请求容易被伪造和嵌入到恶意链接中，所以应该避免在GET请求中执行任何敏感操作。
XSS攻击：
XSS攻击是通过在Web页面中注入恶意脚本代码，当用户浏览该页面时，恶意脚本会被执行，从而窃取用户数据或执行其他恶意操作。这些恶意脚本通常是JavaScript，但也可以是其他客户端脚本语言。攻击者可以利用这些脚本获取用户的会话信息、执行非法操作或篡改页面内容。
为了防范XSS攻击，可以采取以下措施：
- 输入合法性验证：在服务端对用户输入的数据进行严格的合法性验证，排除包含恶意脚本的输入。
- 转义特殊字符：对用户输入的内容进行适当的转义处理，以防止浏览器将其误解为脚本代码并执行。
- 设置HTTP头部：使用Content-Security-Policy等HTTP头部来限制页面加载和执行脚本的来源，减少潜在的攻击面。
- 使用内容安全策略（CSP）：通过CSP定义白名单，只允许加载和执行来自信任源的脚本和资源。
- 更新和修补：保持应用程序和所使用的库、框架等组件的最新版本，及时修补已知的安全漏洞。
综上所述，CSRF攻击和XSS攻击是两种不同的网络安全威胁，需要采取相应的防范措施来确保Web应用程序的安全性。通过实施上述建议，可以大大降低这两种攻击的风险。