深入解析：跨站脚本（XSS）与跨站请求伪造（CSRF）攻击及防御策略

深入解析：跨站脚本（XSS）与跨站请求伪造（CSRF）攻击及防御策略

在现代 Web 开发中，安全问题始终占据重要地位。跨站脚本（XSS）和跨站请求伪造（CSRF）作为两种常见的 Web 应用安全威胁，给开发者带来了不小的挑战。本文将深入解析这两种攻击的原理、影响，以及在 Python Web 框架中的防御策略。

---

什么是跨站脚本（XSS）攻击？

跨站脚本（XSS）是一种通过注入恶意代码到网页中的攻击手段。攻击者通过诱导用户执行这些代码，实现窃取用户数据、伪造身份等目的。

常见类型

1. 反射型 XSS：
   通过 URL 参数直接注入代码，用户点击链接后触发攻击。
2. 存储型 XSS：
   恶意代码被存储到服务器中，用户访问受感染的页面时触发。
3. 基于 DOM 的 XSS：
   利用客户端脚本漏洞操作 DOM 结构，直接修改网页内容。

示例代码

from flask import Flask, req