CSRFvsXSS

CSRF

CSRF 让攻击者利用用户已登录的身份，在用户不知情的情况下执行转账、改密码等敏感操作。用户只需点击一个恶意链接，攻击就完成了。

XSS

XSS 让攻击者在受害者的浏览器中执行恶意 JavaScript，可以窃取 Cookie、劫持会话、篡改页面内容。OWASP Top 10 常客，至今仍是最常见的 Web 漏洞之一。

CSRF

• 利用浏览器自动携带 Cookie 的机制
• CSRF Token 和 SameSite Cookie 是主要防御
• 现代框架大多内置 CSRF 防护

XSS

• 分为反射型、存储型和 DOM 型三种
• CSP 和输出编码是主要防御手段
• 即使在 2025 年仍是 Bug Bounty 最常见的漏洞类型

CSRF

利用用户已认证的会话在其不知情的情况下向目标网站发送恶意请求的攻击

XSS

通过在 Web 应用中注入恶意客户端脚本来攻击其他用户的安全漏洞

CSRF

• Web 应用安全测试
• 认证机制的安全评估
• 安全开发规范制定

XSS

• Web 应用安全评估
• Bug Bounty 漏洞挖掘
• 安全开发培训

CSRF

CSRF 利用浏览器在发送请求时自动携带目标站点 Cookie 的机制。攻击者构造一个恶意页面，当已登录目标站点的用户访问该页面时，浏览器会自动带上 Cookie 发送请求，服务器无法区分这是用户主动操作还是被诱骗的。防御方法包括 CSRF Token、SameSite Cookie 属性、以及验证 Referer/Origin 头。现代 Web 框架（Next.js、Django）大多内置了 CSRF 防护。

XSS

XSS 攻击通过在 Web 应用中注入恶意脚本代码，当其他用户访问受影响页面时脚本在其浏览器中执行。存储型 XSS 最危险（恶意代码持久化在服务器），反射型最常见（通过 URL 参数注入），DOM 型最隐蔽（纯客户端触发）。防御需要多层策略：输入验证、输出编码、CSP 头、HttpOnly Cookie。现代前端框架（React、Vue）默认转义输出，大幅降低了 XSS 风险，但自定义渲染和 dangerouslySetInnerHTML 仍是常见突破口。