XSS和CSRF

CSRF：

在浏览器存有 Web_A 的 Cookie 时访问 Web_B，B 要求访问第三方网站Web_A，此时浏览器会自动带上 Web_A 的Cookie去访问 Web_A，从而拥有 User_C 在 Web_A 的权限，进而使用 User_A 的权限去执行恶意操作。

防御：Token、隐藏令牌、Referer验证(页面来源，只接受本站请求，其他网站请求，服务器拒绝响应，或拦截)

XSS：

盗用受害者 Cookie 等敏感隐私信息，发送给攻击者，攻击者冒充受害者登录网站进行恶意操作。