csrf（cross-site request forgery）跨站請求偽造，也被稱為「one click attack」或者session riding，通常縮寫為csrf或者xsrf，是一種對**的惡意利用。儘管聽起來像跨站指令碼（xss），但它與xss非常不同，xss利用站點內的信任使用者，而csrf則通過偽裝成受信任使用者的請求來利用受信任的**。與xss攻擊相比，csrf攻擊往往不大流行（因此對其進行防範的資源也相當稀少）和難以防範，所以被認為比xss更具危險性。
使用者c開啟瀏覽器，訪問受信任**a，輸入使用者名稱和密碼請求登入**a；
在使用者資訊通過驗證後，**a產生cookie資訊並返回給瀏覽器，此時使用者登入**a成功，可以正常傳送請求到**a；
使用者未退出**a之前，在同一瀏覽器中，開啟乙個tab頁訪問**b；
**b接收到使用者請求後，返回一些攻擊性**，並發出乙個請求要求訪問第三方站點a；
瀏覽器在接收到這些攻擊性**後，根據**b的請求，在使用者不知情的情況下攜帶cookie資訊，向**a發出請求。**a並不知道該請求其實是由b發起的，所以會根據使用者c的cookie資訊以c的許可權處理該請求，導致來自**b的惡意**被執行。
在業界目前防禦 csrf 攻擊主要有四種策略：
1.驗證 http referer 字段；
2.在請求位址中新增 token 並驗證；
3.在 http 頭中自定義屬性並驗證；
4.chrome 瀏覽器端啟用 samesite cookie
有關csrf攻擊及防禦詳見
跨站請求偽造 CSRF
跨站請求偽造 csrf 顧名思義就是在其他非法 呼叫了正常 的介面，攻擊的方法是在頁面中包含惡意 或者鏈結，攻擊者認為被攻擊的使用者有權訪問另乙個 如果使用者在那個 的會話沒有過期，攻擊者就能執行未經授權的操作。大多數 rails 程式都使用 cookie 儲存會話，可能只把會話 id 儲存在 co...
CSRF跨站請求偽造
前面說到xss跨站指令碼攻擊，現在來個複雜度更高一點的csrf跨站請求偽造 首先說一下rsrf的幾個要點 1.rsrf是通過各種方法 站內發布鏈結，qq郵箱發布鏈結等 讓登入使用者觸發請求，在使用者不覺察的過程中對使用者資料進行篡改，進而實現攻擊 2.通過xss可以獲取到使用者的session id...
CSRF 跨站請求偽造
csrf cross site request forgery 中文是跨站請求偽造。csrf攻擊者在使用者已經登入目標 之後，誘使使用者訪問乙個攻擊頁面，利用目標 對使用者的信任，以使用者身份在攻擊頁面對目標 發起偽造使用者操作的請求，達到攻擊目的。舉個列子 假如a站為受信任的銀行 其中有個銀行轉賬...