csrf (Cross-site request forgery) 伪造请求会话、cookie注入
1.可以通过document.cookie="JSESSIONID=123456789"; //设置tomcat默认的会话cookie名称,值为要注入的会话cookie
2.直接登陆url，就拿到了另一个会话。
防范方法：
1.检查http头的referer (这个值也可以伪造)
2.检查客户端IP(如果功击者和被害者通过同一路由上网公网IP一样)
3.添加token，每请求一次更改一次服务端token，token还可以防止重复提交。
xss (cross site scripting) 跨站脚本攻击
比如说在留言版输入留言 <script>location=http://www.baidu.com</script>，当别人打开有这条留言的网页时，浏览器页面跳转到了baidu.com
防范方法：
前端表单验证+后台表单验证+特殊字符过滤或转义
这个方法还可以防范sql注入