csrf和xss

csrf：
http://www.cnblogs.com/hyddd/archive/2009/04/09/1432744.html
https://gold.xitu.io/post/583d6384a22b9d006a93c868
http://www.freebuf.com/articles/web/11840.html
http://adoyle.me/blog/how-csrf-works.html

总结：
1、什么是CSRF？
CSRF (Cross-site request forgery)，跨站请求伪造；
2、CSRF能做什么？
你可以这样理解CSRF：攻击者盗用了你的身份，以你的名义发送恶意请求。
CSRF能做的事：以你的名义发送邮件，发消息，盗取你的账号，甚至于虚拟货币转账...造成的问题包括：个人隐私泄露和财产安全。
3、CSRF的原理

4、CSRF防御
CSRF的防御可以从服务端和客户端两方面着手，防御效果是从服务端着手效果比较好，现在一般的CSRF防御也都在服务端进行。
服务端的防御：
1、验证HTTP Referer 字段（采用）
2、在请求的地址中添加csrftoken并验证（采用）

xss：
http://blog.csdn.net/ghsau/article/details/17027893
http://www.jianshu.com/p/790fb57f3acb
http://yijiebuyi.com/blog/b23998331213eb6e1571006b39cd6b78.html
http://www.freebuf.com/articles/web/15188.html
https://github.com/astaxie/build-web-application-with-golang/blob/master/zh/09.3.md

1、什么是XSS?
XSS又称为CSS （Cross site Script）跨站脚本攻击，web程序中常见的漏洞，属于被动式且用于客户端的攻击方式。
2、原理
攻击者向有XSS漏洞的网站传入（输入）恶意的HTML代码，当其他用户访问该网站时，这段HTML代码会自动执行，达到攻击的目的，如：盗取用户的cookie、破坏网页结构，重定向其他网站等。
3、XSS种类
1、DOM based XSS 一种基于网页DOM结构的攻击，特点是中招的认识少数；
2、Stored XSS 存储式XSS漏洞，攻击代码已经存储在服务器里或者数据库里，受害者可以是很多人。
4、CSS防御
1、完善的过滤体系：永远不要相信用户的输入，需要对用户的输入进行处理，只允许输入合法的值，其他值应该过滤掉。
2、Html Encode：某些情况下，对标签进行转换。
在htmlencode中需要转换的标签如下：
& --> &
< --> <

--> >
" --> "
' --> '
/ --> /
在PHP中：
htmlentities
http://www.w3school.com.cn/php/func_string_htmlentities.asp

htmlspecialchars

http://www.w3school.com.cn/php/func_string_htmlspecialchars.asp