Web安全之CSRF攻击详解与防护

最新推荐文章于 2025-06-07 14:21:24 发布

J老熊

最新推荐文章于 2025-06-07 14:21:24 发布

阅读量2.2k

点赞数 49

CC 4.0 BY-SA版权

分类专栏： Java Web安全文章标签： web安全 csrf 安全 java 面试运维

本文链接：https://blog.youkuaiyun.com/weixin_39996520/article/details/142032205

在互联网应用中，安全性问题是开发者必须时刻关注的核心内容之一。跨站请求伪造（Cross-Site Request Forgery, CSRF），是一种常见的Web安全漏洞。通过CSRF攻击，黑客可以冒用受害者的身份，发送恶意请求，执行诸如转账、订单提交等操作，导致严重的安全后果。

本文将详细讲解CSRF攻击的原理及其防御方法，结合电商交易系统的场景给出错误和正确的示范代码，并分析常见的安全问题与解决方案，帮助开发者全面理解和防御CSRF攻击。

1. CSRF攻击概述

1.1 CSRF的原理

CSRF攻击是指黑客通过欺骗用户在不知情的情况下向受信任的服务器发送请求，从而执行用户并未授权的操作。由于浏览器的同源策略，浏览器会自动携带当前登录用户的身份凭证（如Cookie），导致服务器误以为请求是合法用户发出的。

常见的CSRF攻击流程如下：

用户登录电商系统，并在浏览器中保持会话（比如通过Cookie保存登录状态）。
攻击者构造一个恶意网站，诱导用户访问该网站。
恶意网站通过用户的浏览器向电商系统发送请求，例如提交订单、修改账户信息等。
由于用户已经登录，服务器在收到请求时会认为是合法请求，从而执行攻击者的恶意操作。

1.2 CSRF的危害

账户盗用：攻击者可以伪造请求进行账户操作，如修改密码、转账等。
资金损失：在电商交易系统中，CSRF可以被用来提交伪造订单、篡改收货地址、转移资金等。
信息泄露：攻击者可能通过CSRF请求获取用户的敏感信息。

2. 电商交易系统中的CSRF攻击示例

为了更直观地理解CSRF攻击的危害，我们以电商交易系统为例，演示错误的代码实现以及如何修复它。

2.1 错误示范：未防护CSRF的订单提交

在一个简单的电商交易系统中，用户可以通过提交订单来购买商品。假设服务器端的订单提交接口是通过POST请求进行的，代码如下：

// 订单提交控制器
@PostMapping("/submitOrder")
public String submitOrder(@RequestParam("productId") String productId, 
                          @RequestParam("quantity") int quantity,
                          HttpSession session) {
    // 获取当前用户信息
    User user = (User) session.getAttribute("currentUser");

    // 创建订单
    Order order = new Order();
    order.setUserId(user.getId());
    order.setProductId(productId);
    order.setQuantity(quantity);

    // 保存订单到数据库
    orderService.saveOrder(order);

    return "orderSuccess";
}

这种实现存在明显的安全问题：攻击者可以诱导用户访问恶意链接，从而提交伪造的订单。

例如，攻击者可以构造如下HTML页面，并诱导用户点击：

<html>
<body>
    <form action="http://ecommerce.com/submitOrder" method="POST">
        <input type="hidden" name="productId" value="123">
        <input type="hidden" name="quantity" value="10">
        <input type="submit" value="Submit order">
    </form>
&