csrf是跨站请求伪造攻击，防范方法包括使用csrf token、二次确认、检查请求来源、使用自定义header或token认证，并启用框架内置的csrf中间件。xss攻击常见于用户输入内容的地方，拦截手段有输入过滤、使用模板引擎自动转义、设置content-security-policy头、避免拼接html字符串。其他安全设置如添加http安全头（x-content-type-options、x-frame-options、x-xss-protection）和配置cookie安全标志（secure、httponly、samesite）也至关重要。
在Web开发中，Golang虽然语言本身不直接处理安全问题，但使用它构建的Web应用仍然需要面对常见的安全威胁，比如CSRF和XSS攻击。防止这些漏洞的核心在于理解它们的工作方式，并在代码层面做好防护措施。下面是一些实用的做法。
什么是CSRF？怎么防？
CSRF（跨站请求伪造）是指攻击者诱导用户访问恶意网站，利用用户已经登录的身份，在不知情的情况下发起非法请求。例如，一个银行转账页面如果没有防护，攻击者就可以通过构造表单或图片链接来执行转账操作。
防范方法：
立即学习“go语言免费学习笔记（深入）”；
- 使用一次性或有时效性的令牌（CSRF Token）：每次请求都带上服务器生成的随机Token，并验证其有效性。
- 在敏感操作中要求二次确认：比如删除账户、修改密码等操作前让用户再次输入密码。
- 检查请求来源（Referer）和Origin头：虽然不是万能，但在一定程度上可以识别异常来源的请求。
- 对于API接口，建议使用自定义Header（如
X-Requested-With）或Token认证机制（如JWT），并配合CORS策略限制来源。
Gin、Echo等流行的Go Web框架大多内置了CSRF中间件，可以直接启用。
XSS攻击常见在哪？怎么拦？
XSS（跨站脚本攻击）是将恶意脚本注入网页，当其他用户浏览时就会被执行。这种攻击通常出现在评论、搜索框、用户资料等允许输入内容的地方。
举个例子，如果一个论坛允许用户发布内容而不做任何过滤，攻击者就可以插入类似 的代码，一旦其他人打开该页面，就可能被盗取Cookie或跳转到恶意网站。
应对策略包括：
- 输入过滤：对所有用户提交的内容进行HTML转义，尤其是输出到HTML、JS、CSS上下文中的数据。
- 使用Go模板引擎的自动转义功能：标准库
html/template会在变量输出时自动进行HTML转义，避免XSS注入。 - 设置HTTP头
Content-Security-Policy：限制页面只能加载指定域名下的脚本，从根本上阻止内联脚本执行。 - 不要随意拼接HTML字符串，尽量用结构化的方式生成内容。
比如在Go模板中：
{{ .UserInput }} 会自动转义特殊字符，但如果用了 {{ .UserInput | safe }} 或 template.HTML 类型，就要特别小心确保内容可信。
安全设置别忽略：Headers 和 Cookie
除了针对具体攻击类型做防护，还有一些通用的安全配置容易被忽视，但却非常重要。
建议做法：
- 设置安全相关的HTTP Headers，比如：
X-Content-Type-Options: nosniff-
X-Frame-Options: DENY或SAMEORIGIN X-XSS-Protection: 1; mode=block
- Cookie加上安全标志：
-
Secure：只通过HTTPS传输 -
HttpOnly：防止JavaScript读取Cookie -
SameSite：控制是否允许跨域携带Cookie，推荐设为Lax或Strict
-
这些设置可以在Go程序中通过中间件或者响应头统一添加。
基本上就这些。只要在开发过程中多留心这些点，很多常见的Web安全问题都可以提前规避。
