csrf（cross-site request forgery），中文名稱：跨站請求偽造。攻擊者盜用你的身份，以你的名義傳送惡意請求。csrf能夠做的事情包括：以你名義傳送郵件，發訊息，盜取你的賬號，甚至於購買商品，虛擬貨幣轉賬…造成的問題包括：個人隱私洩露以及財產安全。
1、token驗證方法
csrf 攻擊之所以能夠成功，是因為黑客可以完全偽造使用者的請求，該請求中所有的使用者驗證資訊都是存在於 cookie 中，因此黑客可以在不知道這些驗證資訊的情況下直接利用使用者自己的 cookie 來通過安全驗證。要抵禦 csrf，關鍵在於在請求中放入黑客所不能偽造的資訊，並且該資訊不存在於 cookie 之中。可以在 http 請求中以引數的形式加入乙個隨機產生的 token，並在伺服器端建立乙個***來驗證這個 token，如果請求中沒有 token 或者 token 內容不正確，則認為可能是 csrf 攻擊而拒絕該請求。
2、token產生
token是在服務端產生的。如果前端使用使用者名稱和密碼向服務端傳送請求認證，服務端認證成功，那麼在服務端會返回token給前端。前端可以在每次請求的時候帶上token證明自己的合法地位。如果token在服務端持久化，那他就是乙個永久的身份令牌。
CSRF的防禦之HttpOnly
csrf攻擊的全稱是跨站請求偽造 cross site request forgery 是一種對 的惡意利用，儘管聽起來跟xss跨站指令碼攻擊有點相似，但事實上csrf與xss差別很大，xss利用的是站點內的信任使用者，而csrf則是通過偽裝來自受信任使用者的請求來利用受信任的 你可以這麼理解csr...
samesite cookie防禦CSRF漏洞
samesite cookie機制本意是為了減少網路請求包，設想下，b.com 展示a.com下的，b站每向a請求一張，都會攜帶上a域下的cookie，而這些cookie對於請求來說毫無意義，無意中增加請求包大小 samesite有三個屬性lax,strict,none lax b站上通過超連結訪問...
CSRF攻擊與防禦
csrf是乙個偽造使用者請求的操作，所以需要構造使用者請求的所有引數才構成攻擊。表單token通過在請求引數中增加隨機數的辦法來阻止攻擊者獲得所有請求的引數 在頁面表單中增加乙個隨機數為token，每次響應頁面的token都不一樣，從正常頁面提交的請求會包含該token，而偽造者的請求無法獲得該值，...