如何防范XSS（跨站脚本攻击）、CSRF（跨站请求伪造）

对于防范XSS攻击，可以采取以下措施：

1. 对输入进行过滤和验证，可以使用开源库或者自定义方法实现。
2. 对输出进行转义，确保不会执行危险脚本。
3. 使用HTTPOnly和Secure标记来保护cookie。
4. 存储敏感信息时，采用加密的方式以防止数据泄露。

对于防范CSRF攻击，可以采取以下措施：

1. 使用随机的、短生命周期的令牌来防范攻击。
2. 验证HTTP Referer头部,检查请求来源。
3. 如果没有必要，就不要采用HTTP GET方式传递敏感信息，而是采用HTTP POST方式，因为POST方式对于攻击者来说更难仿造。
4. 检查请求方式是否正常，防止恶意请求。