在防范XSS攻击上，主要还是通过在用户输入数据做过滤或转义方面下功夫。后端：可以使用Jsoup框架对输入的字符串进行XSS过滤或者使用Spring框架提供的HtmlUtils工具类对字符串进行HTML转义。前端：尽可能使用innerText而不是innerHTML。
CSRF攻击，又称跨站请求伪造，全称为 Cross-Site Request Forgery，也全称为 One-click Attack，即在用户毫不知情的情况下，假冒用户来模拟操作，对已经成功登录的网页上恶意操作，如发表恶意帖子、修改个人信息、群发信息甚至修改密码等等。
虽然从攻击层面上看，两者有很多相似之处，但是CSRF还是有别于XSS的。从技术层面上看，XSS是指黑客在用户请求的网页植入了自己的恶意脚本；而CSRF是指假冒已经成功登录的用户进行 “为所欲为” 的操作。
XSS的关注点是在于用户数据没有进行过滤或转义
CSRF的关注点是在于HTTP接口没有防范不受信任的调用。
防范CSRF攻击主要有以下两种方式：
（1）CSRF Token验证，利用浏览器的同源策略(不同源的客户端脚本无法在没有授权的情况下，直接读取对方资源)，在HTTP接口执行前验证页面或者Cookie中设置的Token，只有验证通过才继续执行请求。
（2）人机接口，常见的就是在用户在进行相关重要操作(如修改密码)校验短信验证码
写在最后：对于准备成为一名优秀程序员的朋友，如果你想更好地提升你的编程核心能力（内功），让自己成为一个具有真材实料的厉害的程序员，不妨从现在开始！C/C++，永不过时的编程语言~