防范xss需实施输入验证、输出编码并启用csp；抵御csrf应使用anti-csrf token、校验referer/origin头及设置samesite cookie属性，结合多层防护与定期测试可有效提升web应用安全性。
面对Web应用中的安全威胁，XSS（跨站脚本攻击）和CSRF（跨站请求伪造）是两种常见且危害较大的漏洞。有效的防御策略不仅能保护用户数据，还能提升系统整体安全性。以下是针对这两种攻击的实用防御方案。
防范XSS：输入输出双重控制
XSS的本质是恶意脚本在用户浏览器中执行，通常通过未过滤的输入或未编码的输出实现。防御核心在于“不信任任何用户输入”并确保输出安全。
- 输入验证与净化：对所有用户提交的数据进行白名单校验，如限制特殊字符、过滤<script>、<img onerror= alt="安全实践：XSS与CSRF防御方案" >等危险标签。可使用成熟库如DOMPurify进行HTML内容清理。</script>
- 输出编码：在将数据插入HTML、JavaScript、URL等上下文时，使用对应编码方式。例如，在HTML中显示内容时将转换为>。
- 启用Content Security Policy (CSP)：通过HTTP头设置CSP策略，限制页面只能加载指定来源的脚本，有效阻止内联脚本执行。例如：Content-Security-Policy: default-src 'self'; script-src 'self' https://trusted.cdn.com;
抵御CSRF：验证请求合法性
CSRF利用用户已登录的身份，伪造请求完成非预期操作，如修改密码或转账。防御关键是确认请求来自合法来源。
- 使用Anti-CSRF Token：在表单或API请求中加入一次性token，服务端验证其有效性。该token应随机生成、绑定用户会话，并随每次关键操作更新。
- 检查Referer和Origin头：服务端验证请求来源是否在允许的域名范围内。虽然可被绕过，但作为辅助手段仍有一定价值。
- 同源检测 + SameSite Cookie属性：设置Cookie时添加SameSite=Strict或Lax，防止浏览器在跨站请求中自动携带Cookie，从机制上阻断多数CSRF攻击。
结合实践的安全建议
单一措施难以应对复杂场景，需多层防护协同工作。
- 对敏感操作（如修改密码）要求二次认证，增加攻击成本。
- 前后端分离架构中，前端避免使用innerHTML直接插入用户内容，后端统一处理数据过滤。
- 定期进行安全扫描和渗透测试，及时发现潜在XSS与CSRF风险点。
基本上就这些。只要坚持输入过滤、输出编码、Token验证和合理配置安全头，大多数XSS和CSRF问题都能有效规避。安全不是一次性的任务，而是持续的过程。
