笔记：CSRF攻击概念和防范手段

CSRF（Cross-Site Request Forgery）攻击（跨站请求伪造），也被称为Session Riding或One-Click攻击，是一种Web安全漏洞。这种攻击方式利用用户当前已经认证的会话，在用户不知情的情况下执行非授权操作。攻击者构造一个恶意网站或者通过其他方式诱使用户访问这个网站，该网站中包含一个针对目标网站的请求。然后，攻击者通过各种手段，例如诱骗用户点击链接、嵌入图片或脚本等，使用户在其浏览器中发送该请求。由于用户已经在目标网站上进行了认证，浏览器会自动在请求中包含相应的凭证（如Cookie），使该请求看起来像是用户自己发送的。

CSRF攻击的危害包括但不限于：盗取用户信息、篡改用户数据、发起恶意操作以及破坏网站安全。例如，攻击者可以更改用户的账户信息、发出支付请求、删除重要数据，甚至转移用户的资产、篡改网站数据等。

为了防范CSRF攻击，开发者需要采取一系列措施。

一种常见的防范措施是使用随机令牌。在每次向目标网站发送请求时，都要携带一个随机生成的令牌（Token）。目标网站在处理请求时会校验该令牌的有效性，如果无效则拒绝请求。攻击者无法伪造有效的令牌，因此这种方法可以有效地防止CSRF攻击。
使用cors设置跨域策略，不允许未知域名访问发送请求

总的来说，CSRF攻击是一种隐蔽性很强的攻击方式，它利用了用户对自己的信任。因此，了解和掌握CSRF攻击的原理和防范措施对于保护Web应用程序的安全至关重要。

来源：文心一言