Web前端安全策略之CSRF的攻击与防御

跨站请求伪造（CSRF）

---

跨站请求伪造，英文全称为Cross Site Request Forgery ， 缩写CSRF，这种攻击模式用通俗易懂的话来讲就是：攻击者借用你的用户身份，来完成一些需要依靠用户信息来完成的事情，例如转账 、发送邮件……

（1）跨站请求伪造的例子

我们来以转账为例，假设下面是一个转账支付页面：

这一段转账的流程很重要，一定要看懂：

1. 只要用户登录了自己的账户，这个支付页面就会显示用户的名称 、以及余额， 在下面的表单里，只要填上目标账户名（target_user）以及转账金额（money），点击提交， 客户端就会将 target_user 和 money 两个参数发送给服务器。

2. 服务器接收到该请求，并且接收到了这两个参数。 然后判断转账用户是否已登录（实质就是判断客户端是否有该用户的cookie信息），是的话就将该账户里的余额转一定金额（money）给目标账户（target_user），这样就完成了钱的转账。

我们了解完正常的转账流程&#