本文目录一览：
- 1、xss和csrf分别是什么
- 2、安全漏洞XSS、CSRF、SQL注入以及DDOS攻击
- 3、什么是 CSRF 攻击，如何避免
- 4、疑似跨站访问伪造禁止访问是什么意思
- 5、XSS与CSRF有什么区别吗？
- 6、什么是 CSRF 攻击，如何避免？
xss和csrf分别是什么
1、全称Cross-Site Scripting，即跨站脚本
2、简单来说
3、造成xss的有几个要点：
4、比方说在有表单输入的地方，用户输入了 scriptalert('OK')/script ，服务器没有经过过滤直接保存下来，那么当其他用户访问这个页面时，就会弹出这个提示框；当然xss攻击还能做一些其他更复杂的事情，比如说获取用户的cookie什么的；
5、 预防措施
1、全称：Cross Site Request Forgery，即跨站请求伪造；
2、 原理
3、 预防措施 （采用anti-csrf-token方案）
安全漏洞XSS、CSRF、SQL注入以及DDOS攻击
随着互联网的普及，网络安全变得越来越重要，程序员需要掌握最基本的web安全防范，下面列举一些常见的安全漏洞和对应的防御措施。
0x01: XSS漏洞
1、XSS简介
跨站脚本（cross site script）简称为XSS，是一种经常出现在web应用中的计算机安全漏洞，也是web中最主流的攻击方式。
XSS是指恶意攻击者利用网站没有对用户提交数据进行转义处理或者过滤不足的缺点，进而添加一些代码，嵌入到web页面中去，使别的用户访问都会执行相应的嵌入代码。
2、XSS攻击的危害
3、防止XSS解决方案
0x02：CSRF攻击（跨站点请求伪造 ）
1、CSRF简介
CSRF（Cross-site request forgery）跨站请求伪造，也被称为“One Click Attack”或者Session Riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。
XSS主要是利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求，来利用受信任的网站。与XSS攻击相比，CSRF更具危险性。
2、CSRF攻击的危害
主要的危害来自于，攻击者盗用用户身份，发送恶意请求。比如：模拟用户发送邮件，发消息，以及支付、转账等。
3、防止CSRF的解决方案
0x03：SQL注入漏洞
1、简介
SQL注入是比较常见的网络攻击方式之一，主要是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，实现无帐号登录，甚至篡改数据库。
2、SQL注入的危害
3、SQL注入的方式
通常情况下，SQL注入的位置包括：
4、防止SQL注入的解决方案
0x04：DDOS攻击
1、DOS攻击和DDOS简称
2、DDOS的危害
3、如何防御DDOS攻击
总之就是既要做好过滤与编码并使用参数化语句，也要把重要的信息进行加密处理，这样SQL注入漏洞才能更好的解决。
什么是 CSRF 攻击，如何避免
CSRF攻击，全称为“Cross-site request forgery”，中文名为跨站请求伪造，也被称为“One Click Attack”或者“Session Riding”，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。
XSS主要是利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求，来利用受信任的网站。与XSS相比，CSRF更具危险性。
如何防御CSRF攻击?
1、重要数据交互采用POST进行接收，当然POST也不是万能的，伪造一个form表单即可破解。
2、使用验证码，只要是涉及到数据交互就先进行验证码验证，这个方法可以完全解决CSRF。
3、出于用户体验考虑，网站不能给所有的操作都加上验证码，因此验证码只能作为一种辅助手段，不能作为主要解决方案。
4、验证HTTP Referer字段，该字段记录了此次HTTP请求的来源地址，最常见的应用是图片防盗链。
5、为每个表单添加令牌token并验证。
疑似跨站访问伪造禁止访问是什么意思
疑似跨站访问伪造禁止访问是指黑客引诱用户打开的黑客网站。跨站请求伪造（Cross-siterequestforgery），也被称为one-clickattack或者sessionriding，通常缩写为CSRF或者XSRF，是一种挟制用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法。跟跨网站脚本（XSS）相比，XSS利用的是用户对指定网站的信任，CSRF利用的是网站对用户网页浏览器的信任。
XSS与CSRF有什么区别吗？
XSS是获取信息，不需要提前知道其他用户页面的代码和数据包。CSRF是代替用户完成指定的动作，需要知道其他用户页面的代码和数据包。要完成一次CSRF攻击，受害者必须依次完成两个步骤：
登录受信任网站A，并在本地生成Cookie。
在不登出A的情况下，访问危险网站B。
CSRF的防御
服务端的CSRF方式方法很多样，但总的思想都是一致的，就是在客户端页面增加伪随机数。通过验证码的方法。
by三人行慕课
什么是 CSRF 攻击，如何避免？
CSRF：Cross-Site Request Forgery（中文：跨站请求伪造），可以理解为攻击者盗用了你的身份，以你的名义发送恶意请求，比如：以你名义发送邮件、发消息、购买商品，虚拟货币转账等。
防御手段：
验证请求来源地址；
关键操作添加验证码；
在请求地址添加 token 并验证。