XSS攻击和CSRF攻击是网络安全领域比较常见的攻击方式，而且这两种攻击方式从名字上来看，同为跨站攻击：XSS攻击为跨站脚本攻击、CSRF攻击为跨站请求伪造，那么XSS攻击和CSRF攻击有什么区别?以下是详细的内容介绍。

CSRF攻击基本概念及防范方法

一、基本概念

CSRF，英文全称Cross-site request forgery，跨站请求伪造。也被称为“One Click Attack”或者“Session Riding”，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。

二、防范方法

方法1：Token验证，用的比较多：①服务器发送给客户端一个token;②客户端提交的表单中带着这个token;③如果这个token不合法，那么服务器拒绝这个请求。

方法2：隐藏令牌：将token隐藏在http的head头中，方法二和方法一有点像，本质上没有太大区别，只是使用方式上有区别。

方法3：Referer验证：Referer指的是网页请求来源，意思是，只接受本站的请求，服务器才做响应;如果不是，就拦截。

XSS攻击的基本概念及防范方法

一、基本概念

XSS，全称Cross Site Scripting，跨站脚本攻击。XSS攻击的核心原理是：不需要你做任何的登录认证，它会通过合法的操作，向你的页面注入脚本。

最后导致的结果可能是：盗用cookie破坏页面的正常结构，插入广告等恶意内容D-doss攻击。

二、防范方法

方法1：编码：对用户的输入进行HTML Entity编码。

方法2：过滤：移除用户输入的和事件相关的属性。如onerror可以自动触发攻击，还有onclick等。(总而言之，过滤掉一些不安全的内容)移除用户输入的style节点、script节点、Iframe节点。

方法3：校正：避免直接对HTML Entity进行解码。使用DOM parse转换，校正不配对的DOM标签。

DOM parse，这个概念，它的作用是把文本解析成DOM结构。

比较常用的做法是，通过第一步的编码转成文本，然后第三步转成DOM对象，然后经过第二步的过滤。

还有一种简洁的答案：首先是encode，如果是富文本，就白名单。

XSS攻击和CSRF攻击有什么区别?

区别一：CSRF需要用户先登录网站A，获取cookie，XSS不需要登录。

区别二：CSRF是利用网站A本身的漏洞，去请求网站A的api，XSS是向网站A注入js代码，然后执行js里的代码，篡改网站A的内容。

更多网络安全学习相关事宜，推荐关注老男孩教育网络安全培训课程。我们这有专业的网络安全培训课程，还有经验丰富的老师，可以针对不同基础情况的学员制定相应的学习模式，欢迎大家前来试听。

联系我时请说明是在起航培训网看到的，谢谢！

注意：起航培训网只是架起培训机构与学员之间的一道桥梁，帮助培训机构找学员，帮助学员找培训机构的平台，不产生金钱交易，如果你有资金往来，请及时通过电话与对方联系，调查清楚，确认无误在选择，否则造成你的损失，由自己承担，本平台概不负责，谢谢！