XSS
跨网站指令码：代码注入的一种
分为三种：反射性、存储型、dom-based
攻击方式
通过修改html节点或者执行js代码来攻击网站
如：评论：<script>alert(1)</script>
如何防御
使用转义字符进行转义
CSP
一个额外的安全层
本质就是白名单，规定浏览器只能执行特定来源的代码
通过http Header 的 content-security-polity来开启
CSRF
跨站请求伪造
利用用户的登录态发起恶意请求
攻击方式：使用假的东西盖在上边，引导用户点击
如何防御：
Get 请求不对数据进行修改
不让第三方网站访问到用户 Cookie
阻止第三方网站请求接口
请求时附带验证信息，比如验证码或者 token
