第4章 XSS攻击与CSRF防护原理
跨站脚本（XSS）与跨站请求伪造（CSRF）是Web安全面试的必备考点。面试时不仅要能复述攻击流程，更要给出可落地的防御方案。本章拆解两类攻击的面试回答逻辑，配合追问预判与项目案例，帮你建立“原理-防御-检测”闭环。
📌 问答卡片1：XSS的三种类型及防御
面试问题：请说明XSS的三种类型，并给出防御方案。
考察点：是否理解三者的触发机制差异；防御是否有层次；是否了解CSP等高级手段。
回答框架：① 区分反射型/存储型/DOM型；② 核心防御：输入过滤(白名单) + 输出编码(HTML实体/JS编码) + CSP(脚本来源白名单)；③ 补充措施：HttpOnly Cookie防读取、X-XSS-Protection头。
示例回答：“反射型通过URL参数注入，存储型写入数据库后被其他用户触发，DOM型依赖前端JS动态执行。防御上：输入用白名单过滤