本文共 1062 字，大约阅读时间需要 3 分钟。

CSRF跨站请求伪造，指的是黑客诱导用户点击链接，打开黑客的网站，然后黑客利用用户目前的登录状态发起跨站请求。

CSRF可能会自动发 GET 请求、自动发 POST 请求或者诱导点击发送 GET 请求。

自动发 GET 请求：进入页面后自动发送 get 请求，这个请求会自动带上关于 xxx.com 的 cookie 信息(如果已经在 xxx.com 中登录过)。并且服务器端没有相应的验证机制，它可能认为发请求的是一个正常的用户，因为携带了相应的 cookie，然后进行相应的各种操作，可以是转账汇款以及其他的恶意操作。

自动发 POST 请求：黑客可能自己填了一个表单，写了一段自动提交的脚本。同样也会携带相应的用户 cookie 信息，让服务器误以为是一个正常的用户在操作。

诱导点击发送 GET 请求：在黑客的网站上，可能会放上一个链接，诱导用户点击，点击后，自动发送 get 请求，这个请求会自动带上关于 xxx.com 的 cookie 信息(如果已经在 xxx.com 中登录过)。并且服务器端没有相应的验证机制，它可能认为发请求的是一个正常的用户，因为携带了相应的 cookie，然后进行相应的各种操作，可以是转账汇款以及其他的恶意操作。 和XSS攻击对比，CSRF 攻击并不需要将恶意代码注入用户当前页面的html文档中，而是跳转到新的页面，利用服务器的验证漏洞和用户之前的登录状态来模拟用户进行操作。

防范措施：

（1）利用 Cookie 的 SameSite 属性，SameSite可以设置为三个值，Strict、Lax和None。在Strict模式下，浏览器完全禁止第三方请求携带Cookie。在Lax模式下只能在 get 方法提交表单或者a 标签发送 get 请求的情况下可以携带 Cookie，其他情况均不能。在None模式下，也就是默认模式，请求会自动携带上 Cookie。 （2）验证来源站点，需要用到请求头中的:Origin和Referer两个字段，Origin只包含域名信息，Referer包含了具体的 URL 路径。这两个都是可以伪造的， Ajax 中可以自定义请求头，安全性略差。 （3）CSRF Token，浏览器向服务器发送请求时，服务器生成一个字符串，将其植入到返回的页面中。然后浏览器如果要发送请求，就必须带上这个字符串，然后服务器来验证是否合法，如果不合法则不予响应。这个字符串也就是CSRF Token，通常第三方站点无法拿到这个 token, 因此也就是被服务器给拒绝。

转载地址：https://blog.csdn.net/yyychocolate/article/details/108033364 如侵犯您的版权，请留言回复原文章的地址，我们会给您删除此文章，给您带来不便请您谅解！