随着Web应用的普及，网络安全问题越来越成为人们关注的焦点。其中，基于Web应用的XSS（跨站脚本攻击）和CSRF（跨站请求伪造攻击）属于比较常见的攻击方式。本篇文章旨在介绍PHP中的XSS和CSRF攻击，并提供针对这两种攻击的防御技术。
一、XSS攻击
1.攻击原理
XSS攻击指攻击者通过注入恶意脚本，使得用户在访问受害网站时，浏览器自动执行这些脚本，进而导致信息泄露、帐号盗取等问题。攻击者可以通过各种途径注入脚本，比如在用户输入框中注入恶意代码、在URL中添加恶意代码等。
2.防御技术
为了防止XSS攻击，我们可以使用一些防御技术，具体如下：
（1）对用户输入进行过滤，并将特殊符号和脚本语言进行转义。在PHP中，可以通过使用htmlspecialchars()函数实现。比如：
$str = "<script>alert('XSS攻击！');</script>";
echo htmlspecialchars($str);
（2）使用HTTP头中的Content-Security-Policy来限制资源的加载。比如：
header("Content-Security-Policy: script-src 'self'; object-src 'none'");
（3）使用X-XSS-Protection头部来启用浏览器的XSS保护机制。比如：
header("X-XSS-Protection: 1; mode=block");
二、CSRF攻击
1.攻击原理
CSRF攻击指攻击者利用用户的登录状态在用户不知情的情况下，伪造一个请求并发给网站，从而导致用户所提交的数据被盗取或者执行恶意操作。攻击者可以通过各种手段诱导用户去点击恶意链接、访问恶意网站等，达到攻击的目的。
2.防御技术
为了防止CSRF攻击，我们可以使用以下防御技术：
（1）使用令牌。在提交表单时，生成随机令牌并存储在服务器端，每次提交表单都需要将令牌一起提交，并且在服务器端对令牌进行验证。如果令牌不正确，则拒绝请求。可以使用如下PHP代码实现：
//生成令牌
$token = md5(uniqid(rand(), true));
$_SESSION['token'] = $token;
//生成表单
$html = '<form method="post" action="submit.php">';
$html .= '<input type="text" name="username">
';
$html .= '<input type="hidden" name="token" value="'.$token.'">';
$html .= '<input type="submit" value="提交">';
$html .= '</form>';
//验证令牌
if($_POST['token'] != $_SESSION['token']){
die("CSRF攻击！");
}
（2）校验Referer。在服务器端判断请求来源，只允许同源请求访问。可以使用如下代码实现：
if($_SERVER['HTTP_REFERER'] != 'http://example.com/'){
die("CSRF攻击！");
}
三、总结
以上介绍了PHP中的XSS和CSRF攻击的原理及防御技术。在Web应用的开发中，我们必须引起足够的重视，采取适当的防御措施，加强对安全问题的管理和监控，保障用户的信息安全和网站的稳定性。
