XSS và CSRF khác nhau thế nào? Cách phòng chống?

	XSS	CSRF
Bản chất	Chạy mã độc trong origin của bạn	Mượn phiên đăng nhập từ site khác
Kẻ tấn công đọc được response	Có	Không (chỉ gây tác động)
Chống	Escape output, CSP, HttpOnly, sanitize	SameSite, CSRF token, kiểm tra Origin

// XSS: nguy hiểm
el.innerHTML = userInput;
// An toàn: coi là text
el.textContent = userInput;

Set-Cookie: sid=...; HttpOnly; Secure; SameSite=Lax

• Loại XSS: stored, reflected, DOM-based.
• Framework như React tự escape giá trị trong JSX; rủi ro nằm ở dangerouslySetInnerHTML, URL javascript:, thư viện bên thứ ba.
• CSRF chỉ nguy hiểm với auth tự gửi (cookie); API dùng header Authorization thủ công ít bị CSRF nhưng dễ bị XSS đánh cắp token nếu lưu ở localStorage.
• Nếu có XSS, CSRF token cũng vô hiệu vì script đọc được token.