CSRF:跨站请求伪造。
攻击原理：一个用户登陆了可信的网站A，身份验证后A会下发一个cookie；此时用户又打开了另一个危险网站B，B引诱用户点击连接（该链接会访问A的接口），由于此时会携带cookie，网站A认为这个请求是合法的，就执行了该请求。
防范措施：
1.接口增加token
2.refer验证，验证HTTP请求的来源地址
参考资料 https://www.ibm.com/developerworks/cn/web/1102_niugang_csrf/
XSS：跨域脚本攻击
攻击原理：向页面注入脚本，在脚本中执行攻击
防范措施：
1.编码：对用户输入的数据进行HTML Entity编码
2.过滤：对用户输入中可能存在危险的元素进行过滤，如style、script iframe
关于web安全--CSRF和XSS
原文地址：https://www.cnblogs.com/jingmi-coding/p/9281161.html