Web安全漏洞主要包括跨站脚本攻击（XSS）、SQL注入、会话劫持、跨站请求伪造（CSRF）等。
跨站脚本攻击（XSS）是一种在网页中注入恶意脚本的漏洞。攻击者通过插入恶意代码到网页中，当其他用户浏览该网页时，恶意代码会在用户的浏览器上执行，从而获取用户的敏感信息（如Cookie等），甚至操纵用户的行为。这种攻击方式常常利用网页的输入验证不足或输出渲染不当的问题。
SQL注入是另一种常见的Web安全漏洞。当应用程序没有对用户输入进行充分的验证和过滤时，攻击者可以通过输入恶意的SQL代码来操纵应用程序的数据库查询。这种攻击可以导致数据的泄露、数据的篡改，甚至整个数据库的控制权被夺取。
会话劫持是指攻击者通过获取其他用户的会话令牌或其他身份凭证，冒充该用户进行非法操作。这种攻击常常发生在用户未妥善保管自己的身份凭证，或者网站在会话管理上存在缺陷时。攻击者可以通过嗅探、中间人攻击等手段获取会话令牌。
跨站请求伪造（CSRF）是一种利用用户已登录的合法身份进行恶意操作的攻击方式。攻击者通过伪造请求，诱导用户在不知情的情况下执行恶意操作，例如更改用户的个人信息、发送邮件等。这种攻击常常发生在网站对用户操作的验证不足时。
以上四种漏洞是Web安全中常见的风险点，但并非全部。随着技术的发展和攻击手段的不断演变，新的安全漏洞也会不断出现。因此，对于Web开发者来说，保持对最新安全漏洞的了解和防范措施的实施是非常重要的。同时，定期的漏洞扫描和安全测试也是确保网站安全的重要手段。