下列关于XSS 和CSRF 说法错误的是？（）

A-XSS（）恶意脚本通过服务器回显到用户浏览器中执行

B-CSRF（）（可能是恶意脚本，也可能是恶意的HTML标签；可能经过服务器的回显，也可能完全不经过）使得浏览器发起了攻击性的请求

C-CSRF更像漏洞，XSS更像攻击

D-只要有XSS，就可以发起CSRF类似攻击