Web 安全-XSS 攻击 / CSRF 攻击

1.所有用户输入的地方都不安全 (只要有输入框, 不论前后端, 都要做好 XSS 防范)
2.所有展示用户输入的地方都不安全(从后台拿到的数据不要直接以 HTML 方式显示, 可能包含恶意代码)
3.js 里不要用 eval(把字符串以js 的方式全局运行)
4.不要用 innerHTML
可以创建一个 DOM 节点, 用 innerText 以字符串的方式展示用户的输入
XSS 攻击演练: https://xss-game.appspot.com/

是典型的 CSRF (Cross Site Request Forgery)攻击，中文名：跨站请求伪造。其原理是攻击者构造网站后台某个功能接口的请求地址，诱导用户去点击或者用特殊方法让该请求地址自动加载。用户在登录状态下这个请求被服务端接收后会被误以为是用户合法的操作。对于 GET 形式的接口地址可轻易被攻击，对于 POST 形式的接口地址也不是百分百安全，攻击者可诱导用户进入带 Form 表单可用POST方式提交参数的页面

参看饥人谷教程: https://zhuanlan.zhihu.com/p/22521378