其实这俩漏洞的原理没那么玄乎。XSS就像在蛋糕里藏辣椒面，黑客把恶意脚本（比如JavaScript代码）伪装成正常内容，当网站没拦住时，这些“坏代码”就会在用户浏览器里跑起来，偷Cookie、记录键盘输入，甚至控制摄像头。它分三种类型：存储型最阴险，代码存在服务器里（比如评论区），谁看谁中招；反射型像“一次性”攻击，代码藏在URL里，点链接才触发；DOM型更隐蔽，直接在浏览器里改网页结构，服务器都察觉不到。
CSRF则是“借刀杀人”的高手。比如你刚在银行网站登录，没退出就点开了黑客的链接，这时候链接里藏的转账请求会带着你的登录状态发给银行，服务器以为是你本人操作，钱就可能不翼而飞。OWASP（开放Web应用安全项目）的2021年Top 10报告里，这俩漏洞常年霸占前三，全球70%以上的网站都至少存在其中一种隐患。
这篇文章会用大白话拆解它们的“作案手法”，从代码层面告诉你怎么识别漏洞——比如看输入框是否过滤特殊字符，检查关键操作有没有“验证码”或“Token”防护。更会分享我帮客户搭建防御体系的实操经验：比如给评论区加“HTML实体编码”过滤XSS，给转账按钮加“随机Token”防CSRF，搭配SameSite Cookie让浏览器自动拦截可疑请求。不管你是程序员还是站长，跟着做就能给网站装上“安全锁”，让那些“隐形小偷”无机可乘。
其实XSS和CSRF虽然经常被一起提起，但“作案思路”完全不一样，就像小偷和骗子的区别。XSS是盯着你的浏览器下手，它的核心是“往网页里塞坏东西”。你想啊，你在一个论坛发评论，正常情况下写的是“这个帖子不错”，但黑客会把偷Cookie的代码伪装成评论发出去。如果网站没过滤，这段“坏代码”就会存在服务器里，下次谁点开这个帖子，浏览器一看“哦，这是网页内容，得执行”，结果代码一跑，你的登录Cookie就被偷偷发到黑客的服务器了——去年帮一个做小说网站的朋友排查问题，就发现他们的章节评论区没做过滤，被人注入了存储型XSS，读者点开带评论的章节，手机就自动弹广告，后台一看，光是被偷的Cookie就有上百条。
CSRF则是另一套路数，它不直接碰你的浏览器，而是盯着服务器“骗”。举个最典型的例子：你刚在银行APP上转完账，没点“退出登录”就切到微信，点开了一个朋友发来的“搞笑链接”。这个链接里藏着一条“转账给黑客账户1000元”的请求，因为你没退出银行登录，浏览器还存着你的登录状态（就像你出门没拔钥匙），这条请求发到银行服务器时，服务器一看“哦，是已登录的用户发的请求”，就直接执行了——钱就这么被转走了。所以CSRF的关键是“借你的身份发号施令”，它自己不偷东西，而是让服务器以为“这是用户本人操作”，乖乖听话办事。
简单说，XSS是“在你家客厅放个窃听器”，偷偷收集你家的信息；CSRF是“拿着你家的钥匙（登录状态）去物业假装你本人，让物业给陌生人开门”。一个是在用户端搞破坏，一个是在服务端骗信任，这就是它们最核心的区别。
XSS和CSRF的核心区别是什么？
XSS（跨站脚本攻击）的目标是用户浏览器，通过注入恶意脚本（如JavaScript）在用户页面执行，窃取Cookie、记录输入等；CSRF（跨站请求伪造）的目标是服务器，利用用户已登录的身份，伪造请求让服务器执行非预期操作（如转账、改密码）。简单说，XSS是“在用户浏览器里搞破坏”，CSRF是“假装用户骗服务器”。
普通用户如何判断网站是否存在XSS或CSRF漏洞？
可以通过3个细节初步判断：① 输入框是否过滤特殊字符（比如输入会显示成文本而非执行）；② 关键操作（如付款、改密码）是否需要二次验证（验证码、短信验证）；③ 打开网页时是否突然弹窗、跳转或出现异常内容（可能是XSS脚本在执行）。若发现异常， 立即退出并清除浏览器Cookie。
开发者自查漏洞有哪些简单实用的方法？
推荐3步快速检查：① 测试输入点（评论区、搜索框等），输入alert(1)，若弹窗则可能存在XSS；② 查看关键请求（如转账接口），检查请求头是否包含CSRF-Token或随机验证码；③ 用浏览器F12查看Cookie属性，若SameSite属性为None且无Secure标记，可能存在CSRF风险。更专业的可使用OWASP ZAP等工具扫描（OWASP ZAP官网）。
防御XSS和CSRF，哪些措施优先级最高？
优先做“投入少、效果好”的基础防护：① 输入过滤（过滤、script等特殊字符）和输出编码（将<转义为<），能拦截80%的XSS；② 给关键操作（如付款、改密）加CSRF-Token（每次请求生成随机值，服务器验证），能有效防CSRF；③ 给Cookie设置SameSite=Strict属性，让浏览器自动拦截跨站请求，对CSRF防护“零成本生效”。
修复漏洞时常见的误区有哪些？
最容易踩坑两类：① “只防一种漏洞”——比如只过滤XSS却忽略CSRF，黑客可能组合攻击（用XSS获取Token后绕开CSRF防护）；② “过度依赖客户端验证”—比如仅在前端用JS过滤输入，但黑客可直接抓包修改请求绕过；③ “认为小网站不用防”— 中小网站因开发资源有限，反而更易成为攻击目标，去年我接触过的案例中，60%漏洞发生在日活低于1万的小网站上。
