4、跨站请求伪造（CSRF）攻击防护：从原理到实践

跨站请求伪造（CSRF）攻击防护：从原理到实践

1. 跨站请求伪造（CSRF）概述

HTTP 是一种无状态的客户端 - 服务器协议，常用的 HTTP 方法有 GET 和 POST。GET 方法通常用于从服务器获取数据，POST 方法用于更新服务器状态，但在实际应用中，二者可互换使用，都可能触发服务器端状态变化。

由于 HTTP 的无状态性，需要在其基础上进行会话管理，常见的方式是使用 cookie，它是服务器应用创建并存储在浏览器中的少量会话特定数据。另外，还有 URL 重写或隐藏表单参数等替代方法。HTTP 基本认证会将编码后的凭证附加到每个请求中，以实现服务器端的认证和授权，为方便用户，凭证通常会缓存在浏览器中。

成功实施 CSRF 攻击需要满足以下条件：
1. 目标网站必须使用隐式认证，如通过 cookie 或 HTTP 认证。
2. 目标用户必须已经对目标 Web 应用进行了身份验证，并且浏览器缓存了认证凭证。
3. 攻击者迫使用户的浏览器向目标 Web 应用发出 HTTP 请求。

当这三个条件都满足时，浏览器会自动添加隐式认证，使请求对目标服务器看起来是合法的。CSRF 攻击通常是跨域的，但也可能在同一域内发生。

2. 现有防范措施

• 客户端防范措施 ：最广泛使用的是同源策略（SOP），它限制脚本对来自同一“源”的 DOM 属性和方法的访问，“源”通常定义为<域名、协议、TCP 端口>三元组。然而，SOP 的保护并不充分，它虽然能防止请求脚本访问其他源页面的 cookie 或 DOM 属性，但无法阻止攻击者向其他源发出请求。此外