CSRF（跨站请求伪造）和XSS（跨站脚本）攻击是两种常见的网络安全漏洞。
CSRF
CSRF攻击是指攻击者利用用户的身份，以用户不知情的方式发送恶意请求，从而执行某些非法操作。攻击者通常会通过诱导用户点击恶意链接或访问恶意网站来实施此类攻击。攻击成功后，攻击者可以以被攻击用户的身份执行任意操作，如更改密码、发布内容等。CSRF攻击的原因是因为网站在处理用户请求时没有验证请求的来源，导致恶意请求被误认为是合法请求。
解决CSRF攻击的方法包括使用验证码、添加额外的token验证来验证请求的合法性、检查Referer头等。这些方法可以确保请求只能由合法用户发起。
XSS
XSS攻击是指攻击者向目标网页注入恶意脚本代码，使得用户在浏览器中执行这些恶意代码。这些恶意脚本可以窃取用户的敏感信息（如用户名、密码等），或者对用户进行重定向、篡改页面内容等操作。XSS攻击通常发生在缺乏输入验证或输出转义的网页中，使得攻击者能够成功注入恶意代码。
解决XSS攻击的方法包括对用户输入进行过滤和转义、使用HTTP头中的Content-Security-Policy来限制脚本执行、使用HttpOnly标记来限制Cookie的访问等。这些方法可以阻止恶意脚本的注入和执行。
二者的区别
CSRF：CSRF攻击是利用受害者已经登录了某个网站的身份，在该网站内执行恶意操作。攻击者通过构造特定的请求，诱使受害者在未经意的情况下发送请求，从而导致受害者的账户执行非法操作。CSRF攻击通常涉及两个网站：受害者已登录的网站（A网站）和具有攻击性的网站（B网站）。攻击者通过在B网站上构造恶意请求，并引导受害者访问该请求，从而实现攻击。
例如，一个恶意网站可能会在受害者浏览器中自动执行以下代码：
<form action="https://www.example.com/transferMoney" method="POST">
<input type="hidden" name="amount" value="10000">
<input type="submit" value="Click to Continue">
</form>
<script>
document.forms[0].submit();
</script>当受害者访问该网站时，浏览器会自动向example.com发送一个POST请求，将10000单位的金额转账给攻击者控制的账户。
解决CSRF的方法包括使用CSRF令牌，将令牌嵌入到每个表单中，并在服务器端验证令牌的有效性。这样，即使攻击者构造了表单，但没有正确的令牌，服务器将拒绝处理该请求。
存储型XSS是将恶意代码存储到服务器数据库中，然后被其他用户访问时执行。反射型XSS是将恶意代码作为URL参数或表单输入提交给服务器，然后服务器将恶意代码反射回用户浏览器执行。DOM-based XSS是通过修改页面中的DOM元素来执行恶意代码。
解决XSS的方法包括对输入进行正确的转义和过滤，以确保恶意代码不会被执行。此外，还可以使用内容安全策略（CSP）来限制网页中可以加载和执行的资源。