xss攻击:
跨站脚本攻击,攻击者在网页中嵌入恶意代码,当用户打开网页，脚本程序便开始在客户端的浏览器上执行，以盗取客户端cookie,用户名密码，下载执行病毒木马程序，甚至是获取客户端admin权限等。
原理就是用户输入的时候，输入一些可执行代码，例如<input name="username" value="<script>alert('haha')</script>" />
xss之所以会发生,是因为用户输入的数据变成了代码。因此我们需要对用户的输入的数据进行html转义处理，将其中的括号，引号之类的特殊字符进行转义编码。
crsf攻击,跨站请求伪造,攻击者盗用了你的身份，以你的名义向第三方网站发送恶意请求,crsf能做的事情包括利用你的身份发邮件，发短信，进行交易转账等，甚至盗取你的账号。
攻击值做2件事情，即可完成csrf攻击：
1，登陆受信任站点A，并在本地生产cookie;
2,在不登出站点A(清除站点A的cookie)的情况下,访问恶意站点B。这时恶意站点B的某个页面向站点A发送请求，而这个请求会带上浏览器所保存的站点A的cookie,站点A根据请求所带的cookie,识别为某用户合法行为。
csrf防御手段：
1，将cookie设置为httponly
2,表单提交增加隐藏token提交
3,通过http referer来识别请求来源
sql注入攻击,就是通过把sql命令伪装成正常的http请求参数，传递到服务端，欺骗服务器最终执行恶意的sql命令，达到入侵目的，目前涉及的大批量数据泄露的攻击事件，大部分都是通过sql注入来实施的。
防御手段：
1，使用预编译语句
2，使用orm模型
3，避免密码明文存放
3，处理好相关异常，避免错误暴露过多信息
文件上传漏洞
防御手段：验证上传文件类型