简述XSS与CSRF有什么区别 ？
参考答案：
XSS（跨站脚本攻击）和CSRF（跨站请求伪造）是两种常见的网络攻击方式，它们的主要区别体现在以下几个方面：
- 攻击原理：
- XSS攻击是通过向目标网站注入恶意的JavaScript代码，当其他用户浏览该网站时，这些注入的代码会被执行，从而达到攻击者想要的目的，如窃取用户信息、篡改网页内容等。
- CSRF攻击则是利用用户已经登录过的网站的身份，伪造用户的请求，发送给目标网站，使目标网站执行原本不是用户意愿的操作，如转账、发表言论等。
- 攻击目标：
- XSS攻击主要目标是用户或客户端浏览器，攻击者通过执行注入的恶意代码，直接对用户的浏览器进行操控。
- CSRF攻击则主要目标是目标网站，攻击者通过伪造用户的请求，欺骗目标网站执行非法的操作。
- 攻击方式：
- XSS攻击需要攻击者将恶意代码注入到目标网站的页面中，这通常需要在目标网站上找到可以插入代码的漏洞，如输入框、留言板等。
- CSRF攻击则不需要直接修改目标网站的内容，只需要构造一个能够伪造用户请求的恶意链接或表单，然后诱使用户点击或提交。
- 防御策略：
- 对于XSS攻击，常见的防御策略包括对用户输入进行过滤和转义、设置合适的HTTP响应头、使用内容安全策略（CSP）等。
- 对于CSRF攻击，常见的防御策略包括使用验证码、检查请求的来源地址、使用安全的会话管理策略等。
总的来说，XSS和CSRF在攻击原理、目标、方式和防御策略上都存在明显的区别。了解这些区别有助于更好地识别和防范这两种攻击方式。