Web安全攻防中的XSS和CSRF是两种常见的攻击方式。
XSS（Cross-Site Scripting）攻击是指攻击者通过注入恶意脚本代码，使得用户浏览器在解析网页时执行恶意脚本，从而达到攻击的目的。
XSS攻击可分为三类：
反射型XSS攻击：攻击者将恶意脚本代码注入到URL链接或者提交的表单中，当用户访问这个链接或者提交表单时，恶意脚本会被执行。
存储型XSS攻击：攻击者将恶意脚本代码存储到数据库中，当用户访问包含恶意脚本代码的页面时，恶意脚本会被执行。
DOM型XSS攻击：攻击者通过修改页面中的DOM节点，插入恶意脚本代码，当用户访问这个页面时，恶意脚本会被执行。
攻击者可以通过注入恶意脚本代码，来获取用户的cookie信息，从而获取用户的身份认证信息，绕过网站的身份认证机制。
攻击者可以通过注入恶意脚本代码，来获取用户的输入信息，例如用户名、密码等，从而获取用户的敏感信息。
攻击者可以通过注入恶意脚本代码，来控制用户浏览器，例如重定向用户到恶意网站，下载恶意软件等。
对于用户输入的数据，应该进行过滤，以确保用户输入的数据符合预期的格式和内容。例如，对于输入的URL链接，应该对其进行URL编码，以确保其中的特殊字符被正确解析。
对于从服务器接收到的数据，在输出到网页之前，应该进行编码，以确保其中的特殊字符被正确转义。例如，对于输入的HTML代码，应该对其进行HTML编码，以确保其中的特殊字符被正确解析。
对于cookie信息，应该设置HttpOnly属性，以防止恶意脚本代码通过document.cookie来获取用户的cookie信息。
Content Security Policy（CSP）是一种安全策略，它可以限制网页中可以执行的脚本代码的来源。通过设置CSP，可以防止XSS攻击。
CSRF（Cross-Site Request Forgery）攻击是指攻击者通过伪造用户的身份，利用用户的身份来发送恶意请求，从而达到攻击的目的。
攻击者可以通过伪造用户的身份，来发送请求，从而获取用户的cookie信息，绕过网站的身份认证机制。
攻击者可以通过伪造用户的身份，来发送请求，从而修改用户的数据，例如删除用户的数据，修改用户的密码等。
攻击者可以通过伪造用户的身份，来发送请求，利用第三方网站来攻击目标网站。
在用户提交请求时，服务器生成一个CSRF Token，并将其存储到cookie中。在用户提交请求时，服务器会比对cookie中的CSRF Token和请求中的CSRF Token是否一致，以确保请求是合法的。
在服务器接收到请求时，检查请求头中的Referer字段，以确认请求是否来自合法的来源。
对于cookie信息，应该设置SameSite属性，以防止第三方网站获取用户的cookie信息。
对于用户提交的敏感请求，应该要求用户进行双重身份认证，以确保提交请求的用户是合法的用户。
综上所述，XSS攻击和CSRF攻击是Web安全攻防中的两个重要方面，需要采取相应的防御措施，以确保Web应用的安全性。