安全之CSRF简介

CSRF（Cross-site request forgery）通常称为跨站请求伪造。

攻击原理：

1、用户登录网站A，验证身份，下发cookie并保存在浏览器中

2、用户访问网站B，网站B存在引诱点击，点击访问A网站

3、因为A网站存在cookie，可使用户自动登录A网站并通过身份验证，在A网站上自动执行某些特定操作

例如：新浪微博有一次出现该漏洞，用户是微博（A网站）的登录用户，在点击其他网站（B网站）时，给了一个关注某博主的新浪微博链接，如果用户点击该链接，用户会自动登录新浪微博并关注该博主。

防御措施：

• Token验证
• Referer验证：页面来源验证
• 隐藏令牌：类似Token，例如隐藏在HTTP头中等