cookie是儲存在瀏覽器內的一段使用者資訊，由於受制同源策略影響，不是同源的域名不能獲取非同源的cookie
注意：在另一個非同源頁面裡執行某個非同源域名下的可以跨域的請求，會帶上該請求域名的cookie，所以對於一般重要的請求，設定不能跨域或者設定跨域的安全域名
XSS攻擊（重點是像瀏覽器插入指令碼，從而破壞原有的行為或者盜取資料）：
1）釣魚式反射攻擊：通過email，評論區內容，購買廣告嵌入等方式在原有網站上嵌入惡意連結，使用者點選會盜取該頁面的cookie資訊----設定cookie HttpOnly屬性，只能被服務端讀取，不能被js獲取
2）儲存型攻擊：通過來輸入框內輸入攻擊js程式碼，儲存到服務端，從而達到其他使用者開啟該網頁，展示輸入內容的時候執行攻擊程式碼----對使用者輸入進行轉義，對服務端輸出進行轉義
3）基於DOM的攻擊：通過email，評論區內容，購買廣告嵌入等方式在原有網站上嵌入指令碼修改或者破壞原有DOM的行為
CSRF攻擊（通過在攻擊網站上執行某個使用者資訊已有可以跨域的請求，從而冒充使用者進行相關操作）：
由於cookie同源策略的影響，CSRF攻擊不用擔心是否可以獲取cookie，只關心執行某個請求（執行該請求會帶上使用者原有域名下的cookie）來冒充使用者修改服務端資料---設定驗證碼驗證；服務端設定安全域名/檢查傳送方域名；設定token驗證。