小白对跨域攻击还不太理解，网上资料很乱，一会儿xxs, 一会儿 crsf ,搞不明白； sql注入比较好理解，我用sequelize操作mysql， 自己测试 query方法是可以注入的，如下： var a = ‘csb" or age="30’; sequelize.query(‘select * from cc1 where username="’ + a + ‘"’) 其他orm的 find，create, update 没试出来，好像不怕注入，不知道到底有没有问题。
有大神讲讲这两种攻击，nodejs服务器后台 怎么处理 来防止？