防御XSS与CSRF组合攻击需从切断入口和限制利用两方面入手：首先通过输入过滤、输出编码、CSP策略等严格防范XSS，阻止脚本注入；其次强化CSRF防护，采用同步Token模式、敏感操作二次认证及SameSite Cookie属性，阻断跨站请求伪造；最后结合HTTPS传输、请求源校验与行为监控，实现前后端协同的纵深防御体系。
防御XSS与CSRF的组合攻击，关键在于认识到这两种攻击虽然机制不同，但一旦结合可能造成严重后果：XSS可窃取用户操作权限，CSRF可冒用用户身份发起请求。当XSS被用来绕过CSRF防护时（例如读取并发送CSRF Token），风险急剧上升。因此必须从多层机制入手，协同设防。
严格防范XSS，切断攻击入口
XSS是组合攻击的起点，若能阻止脚本注入，CSRF即便存在也难以被恶意利用。重点措施包括：
- 输入过滤与输出编码：对所有用户输入进行白名单过滤，并在输出到页面时根据上下文（HTML、JavaScript、URL）做相应编码。
- 启用Content Security Policy (CSP)：通过设置 CSP 头限制可执行脚本的来源，有效阻止内联脚本和未知外域脚本执行，大幅降低XSS成功概率。
- 避免使用innerHTML、eval等危险API，使用安全的DOM操作方法。
强化CSRF防护机制，防止请求伪造
即使攻击者通过某种方式获取了用户身份，也应确保其无法伪造合法请求。主要手段有：
- 同步Token模式（Synchronizer Token Pattern）：为每个用户会话生成唯一的CSRF Token，并嵌入表单或请求头中。后端验证Token有效性，且Token不可预测、一次一值。
- 将CSRF Token放在请求头（如X-CSRF-Token）而非表单隐藏字段，配合前端Ajax携带，减少被XSS读取的风险。
- 敏感操作要求二次认证（如密码确认、短信验证码），增加攻击成本。
结合SameSite Cookie属性，阻断跨站请求
利用浏览器的Cookie隔离机制，从根本上限制CSRF的触发条件：
立即学习“前端免费学习笔记（深入）”；
- 将用户会话Cookie设置为SameSite=Strict或Lax，防止在跨站上下文中自动携带Cookie。
- 尤其推荐SameSite=Lax兼顾安全与用户体验，可防御大多数CSRF攻击。
纵深防御：前端与后端协同策略
单一防线不足以应对复杂场景，需前后端共同构建防御体系：
- 前端使用HTTPS传输，防止中间人劫持注入脚本或窃取Token。
- 后端校验请求来源（Origin/Referer），拒绝非可信源的请求。
- 对重要操作记录日志并监控异常行为，及时发现潜在攻击。
基本上就这些。只要XSS打不进去，CSRF就难被滥用；而即便出现XSS，强CSRF机制也能限制其破坏范围。两者结合防御，才能有效应对组合攻击。
