csrf是跨站请求伪造攻击，攻击者利用用户已登录身份发起非预期请求；防护方法包括：1. 使用gorilla/csrf或nosurf中间件生成验证token；2. 设置samesite cookie属性；3. api请求添加并校验自定义头部。xss攻击通过注入恶意脚本实现，防范需：1. 输出用户输入时转义，使用html/template库自动处理；2. 避免直接插入未经检查的html，允许部分标签时采用白名单过滤。其他常见攻击防护有：sql注入用参数化查询或orm；点击劫持设置x-frame-options响应头；关闭不必要的http头防信息泄露；文件上传限制类型大小并存至安全路径。
在Web开发中，Golang虽然语言层面不直接处理安全问题，但通过合理的中间件和编码规范，可以有效防御常见的CSRF和XSS攻击。关键在于理解攻击原理，并在代码中加入相应的防护机制。
什么是CSRF？如何防护？
CSRF（跨站请求伪造）是指攻击者诱导用户访问恶意网站，利用用户已登录的身份，向目标网站发起非预期的请求。比如转账、修改密码等操作如果没做防护，就可能被恶意调用。
防护建议：
立即学习“go语言免费学习笔记（深入）”；
- 使用Go中的中间件如
gorilla/csrf或nosurf来生成和验证 CSRF token。 - 每个表单提交或敏感操作都需要携带有效的 token，服务器端验证其合法性。
- 设置 SameSite Cookie 属性为 Strict 或 Lax，防止跨站请求携带 Cookie。
- 对于 API 请求，可要求添加自定义头部（如
X-Requested-With），并在后端校验。
使用 gorilla/csrf 的简单示例：
csrfMiddleware := csrf.Protect([]byte("32-byte-secret-key"))
http.Handle("/submit", csrfMiddleware(http.HandlerFunc(yourHandler)))在模板中使用 {{ .csrfField }} 插入隐藏字段即可自动携带 token。
如何防范XSS攻击？
XSS（跨站脚本攻击）通常发生在用户输入内容被直接显示在页面上而没有过滤或转义，导致攻击者注入恶意脚本。
防护重点：
- 所有用户输入在输出到 HTML 页面前都要进行转义。
- 使用 Go 的标准库
html/template，它会自动对变量进行 HTML 转义。 - 避免使用
template.HTML类型将未经检查的内容插入页面。 - 如果需要允许部分HTML标签（如富文本编辑器内容），应使用白名单方式过滤。
例如，在 Go 模板中这样写是安全的：
{{ .UserInput }}但如果想保留HTML内容，必须明确告诉模板引擎：
{{ .SafeHTML | safe }}当然，这里的 .SafeHTML 必须是你已经清理过的数据，不能直接来自用户。
其他常见Web攻击的防护建议
除了CSRF和XSS，还有些其他常见攻击也值得留意：
- SQL注入：使用参数化查询或ORM框架（如 GORM），避免拼接 SQL 字符串。
-
点击劫持（Clickjacking）：设置 HTTP 响应头
X-Frame-Options: DENY或SAMEORIGIN。 -
HTTP头信息泄露：关闭不必要的响应头，如
Server、X-Powered-By等。 - 文件上传漏洞：限制上传类型、大小，并将上传文件存储在非 Web 根目录下。
这些措施可以通过中间件统一处理，也可以在路由处理函数中手动设置。
基本上就这些。实现起来不算复杂，但容易忽略细节。只要在开发初期就把安全机制考虑进去，很多问题都可以提前规避。
