Web安全：CSRF的攻击原理与防御措施

原创已于 2025-07-06 01:34:37 修改 · 580 阅读

6 ·

CC 4.0 BY-SA版权

文章标签：

#csrf

于 2025-07-06 01:24:50 首次发布

什么是 CSRF？

CSRF（Cross-Site Request Forgery，跨站请求伪造）是一种利用浏览器自动携带 Cookie 的机制，诱骗用户在已登录目标网站的情况下，执行恶意操作的攻击方式。

攻击核心特点：

攻击者不需要窃取 Cookie，而是利用浏览器自动发送 Cookie 的机制。
服务器无法区分用户主动提交的请求和恶意网站伪造的请求。

CSRF 攻击流程

示例场景（银行转账）

用户登录银行网站
访问your-bank.com，服务器设置Cookie并返回：
```
Set-Cookie: session_id=abc123; Secure; HttpOnly
```
浏览器存储该 Cookie，后续访问 your-bank.com 时自动携带。

用户访问恶意网站
恶意网站malicious.com隐藏了一个自动提交的表单：

   <form action="https://your-bank.com/transfer" method="POST">
     <input type="hidden" name="amount" value="10000">
     <input type="hidden" name="to_account" value="hacker">
   </form>
   <script>
     document.forms[0].submit(); // 自动提交
   </script>

浏览器发送伪造请求
由于目标地址是your-bank.com，浏览器自动附加 Cookie
```
POST /transfer HTTP/1.1
Host: your-bank.com
Cookie: session_id=abc123
amount=10000&to_account=hacker
```
服务器看到合法 session_id，执行转账，攻击成功！

CSRF 防御措施

（1）CSRF Token（最常用）

原理：服务器生成随机 Token，嵌入表单，提交时验证。
实现步骤：

服务器在渲染表单时生成 Token，存储（Session/Redis）：

   <form action="/transfer" method="POST">
     <input type="hidden" name="csrf_token" value="RANDOM_STRING">
   </form>

提交请求时，服务器验证 Token 是否匹配：

   if request.cookies["session_id"] != user_session or request.form["csrf_token"] != stored_token:
       return "Invalid request!"

恶意网站无法获取 Token，伪造请求会被拒绝。

（2）SameSite Cookie（浏览器级防御）

通过设置 SameSite 属性，限制跨站请求携带 Cookie。
SameSite属性有三个值：

Strict模式‌（最严格、但可能影响用户体验）
仅在请求来源与当前域名完全一致时发送Cookie，所有跨站请求均不携带。‌安全性最高，但可能影响用户体验（如从外部链接跳转时需重新登录）。‌‌

‌Lax模式（推荐、默认值）
允许在‌GET请求的顶级导航‌（如点击链接跳转）中发送Cookie，但禁止跨站的POST请求或其他非安全方法携带Cookie。‌‌平衡安全性与用户体验，成为主流浏览器的默认配置。‌‌
```
Set-Cookie: session_id=abc123; Secure; HttpOnly; SameSite=Lax
```