本文目录一览：
- 1、XSS与CSRF有什么区别吗？
- 2、什么是 CSRF 攻击，如何避免？
- 3、解释什么是xss，csrf，sql注入以及如何防范
- 4、什么是CSRF攻击，如何预防
- 5、桌面支付离不开浏览器,市面上有很多浏览器,那浏览器的安全性是一样的吗
XSS与CSRF有什么区别吗？
XSS是获取信息，不需要提前知道其他用户页面的代码和数据包。CSRF是代替用户完成指定的动作，需要知道其他用户页面的代码和数据包。要完成一次CSRF攻击，受害者必须依次完成两个步骤：
登录受信任网站A，并在本地生成Cookie。
在不登出A的情况下，访问危险网站B。
CSRF的防御
服务端的CSRF方式 *** 很多样，但总的思想都是一致的，就是在客户端页面增加伪随机数。通过验证码的 *** 。
by三人行慕课
什么是 CSRF 攻击，如何避免？
CSRF：Cross-Site Request Forgery（中文：跨站请求伪造），可以理解为攻击者盗用了你的身份，以你的名义发送恶意请求，比如：以你名义发送邮件、发消息、购买商品，虚拟货币转账等。
防御手段：
验证请求来源地址；
关键操作添加验证码；
在请求地址添加 token 并验证。
解释什么是xss，csrf，sql注入以及如何防范
权限控制
以及SQL注入、CSRF跨站脚本攻击、XSS漏洞分别在URL参数、表单中的攻击，Session超时等，这主要是web系统的安全测试
什么是CSRF攻击，如何预防
CSRF攻击，全称为“Cross-site request forgery”，中文名为跨站请求伪造，也被称为“One Click
Attack”或者“Session Riding”，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。
XSS主要是利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求，来利用受信任的网站。与XSS相比，CSRF更具危险性。
CSRF攻击的危害：
主要的危害来自于攻击者盗用用户身份，发送恶意请求。比如：模拟用户发送邮件，发消息，以及支付、转账等。
如何防御CSRF攻击：
1、重要数据交互采用POST进行接收，当然POST也不是万能的，伪造一个form表单即可破解。
2、使用验证码，只要是涉及到数据交互就先进行验证码验证，这个 *** 可以完全解决CSRF。
3、出于用户体验考虑，网站不能给所有的操作都加上验证码，因此验证码只能作为一种辅助手段，不能作为主要解决方案。
4、验证HTTP Referer字段，该字段记录了此次HTTP请求的来源地址，最常见的应用是图片防盗链。
5、为每个表单添加令牌token并验证。
桌面支付离不开浏览器,市面上有很多浏览器,那浏览器的安全性是一样的吗
浏览器的安全性都是一样的，你在浏览器上使用支付是需要用支付宝安全控件的，所以再浏览器支付是安全的。
浏览器安全可分为：
Web 页面安全：同源策略、XSS 攻击、CSRF 攻击
浏览器 *** 安全：HTTPS
浏览器系统安全：安全沙箱
在没有安全保障的 Web 世界中，我们是没有隐私的，因此需要安全策略来保障我们的隐私和数据的安全。
基础概念
如果两个 URL 的协议、域名和端口都相同，我们就称这两个 URL 同源。浏览器默认两个相同的源之间是可以相互访问资源和操作 DOM 的。两个不同的源之间若想要相互访问资源或者操作 DOM，那么会有一套基础的安全策略的制约，我们把这称为同源策略。
同源策略会隔离不同源的 DOM、页面数据和 *** 通信，进而实现 Web 页面的安全性。
同源策略具体主要表现在 Dom、Web 数据和 *** 这三个层面。
之一个，DOM 层面。同源策略限制了来自不同源的 JavaScript 脚本对当前 DOM 对象读和写的操作。
比如：从极客时间官网打开任意一个专栏，然后在控制台输入：{//对象 opener 就是指向之一个页面的 window 对象，我们可以通过操作 opener 来控制之一个页面中的 DOM。let pdom = opener.documentpdom.body.style.display = "none"}。
之一个页面将被隐藏，因为两者同源。如果从极客时间打开比如 InfoQ 的页面，因为两者不同源，在 InfoQ 的页面访问极客时间页面的 DOM 是，页面抛出异常，这就是同源策略发挥的作用，Blocked a frame with origin "" from accessing a cross-origin frame。
第二个，数据层面。同源策略限制了不同源的站点读取当前站点的 Cookie、IndexDB、LocalStorage 等数据。
第三个， *** 层面。同源策略限制了通过 XMLHttpRequest 等方式将站点的数据发送给不同源的站点。
同源策略的安全和便利性的权衡。
安全性和便利性是相互对立的，让不同的源之间绝对隔离，无疑是最安全的措施，但这也会使得 Web 项目难以开发和使用。因此我们就要在这之间做出权衡，出让一些安全性来满足灵活性；而出让安全性又带来了很多安全问题，最典型的是 XSS 攻击和 CSRF 攻击。