引言
在当今的 Web 开发中，前端安全往往是被忽视的一环。许多开发者认为只要后端做好防护就万事大吉，但实际上，XSS（跨站脚本攻击）和 CSRF（跨站请求伪造）是两类最常见且危害巨大的前端安全漏洞。它们不仅可能导致用户数据泄露，还能让攻击者以用户身份执行恶意操作。本文将带你深入理解这两种攻击的原理，并通过实战代码，手把手教你构建有效的防御体系。
一、XSS 攻击：原理与分类
XSS（Cross-Site Scripting，跨站脚本攻击）是指攻击者将恶意脚本注入到网页中，当用户浏览该网页时，恶意脚本在用户浏览器中执行，从而窃取用户信息或执行恶意操作。
1.1 攻击原理
XSS 的本质是未经过滤的用户输入被当作代码执行。例如，一个简单的留言板，如果用户输入 而系统未做处理，那么其他用户访问留言板时，这段脚本就会执行。
1.2 常见类型
- 反射型 XSS：恶意脚本通过 URL 参数传入，并立即在响应中返回执行。例如：
http://example.com/search?q=