1. XSS 跨站脚本攻击
XSS 全称为 Cross Site Scripting，即跨站脚本攻击。具体指的是攻击者向网页中注入一段 JavaScript 脚本，当用户浏览该网页的时候，脚本就会被执行，从而达到攻击的目的。
利用这个漏洞的常用方式就是获取用户的 cookie。
防御手段：
- 将用于登录相关的cookie设置为httpOnly，避免被客户端脚本直接读取。
- 对用户输入和输出进行过滤，对其中注入的脚本进行转义。
2. CSRF 跨站请求伪造
用户登陆信任网站，并在本地生成 cookie 后，在没有登出的情况下，黑客诱导用户点击危险链接，这个链接通常包含一些攻击性的操作和参数，即伪造的请求，这种情况下就以用户的身份向服务器发送了伪造的请求，服务器收到这个请求后，会认为是用户自己许可的操作，就有可能导致用户数据丢失等。
防御手段：
- 增加token校验。
- 校验请求头的referer属性值。