csrf攻擊原理：你訪問了信任** a，然後 a 會用儲存你的個人資訊並返回瀏覽器乙個cookie，然後在 cookie 的過期時間之內，你去訪問了惡意** b，它給你返回一些惡意請求**，要求你去訪問** a，而你的瀏覽器在收到這個惡意請求之後，在你不知情的情況下，會帶上儲存在本地瀏覽器的 cookie 資訊去訪問** a，然後** a 誤以為是使用者本身的操作，導致來自惡意** b 的攻擊**會被執：發郵件，發訊息，修改你的密碼，購物，轉賬，**你的個人資訊，導致私人資訊洩漏和賬戶財產安全收到威脅。
解決方案：csrf_token驗證
1.後端生成 csrf_token 的值，在前端請求登入或者註冊介面的時候將值傳給前端，傳給前端的方式可能有以下兩種：
>在模板中的 from 表單中新增隱藏字段
>將 csrf_token 使用 cookie 的方式傳給前端
2.在前端發起請求時，在表單或者在請求頭中帶上指定的 csrf_token
3.後端在接受到請求之後，取到前端傳送過來的 csrf_token，與第1步生成的 csrf_token 的值進行校驗
4.如果校驗對 csrf_token 一致，則代表是正常的請求，否則可能是偽造請求，不予通過
CSRF攻擊原理
假設a.cn這個 是乙個xx管理系統，我只有這個系統的普通使用者的賬戶，這個賬戶功能很有限，沒有管理員賬戶的許可權大，只有管理員賬戶能新增其它的管理員賬戶，我在使用這個 的過程中發現這個 在新增管理員的時候沒有驗證碼或者token驗證，只需要輸入賬號和密碼就可以新增管理員了，這樣的話意味著可以被cs...
CSRF攻擊原理
csrf cross site request forgery 跨站請求偽造，也被稱為 one click attack 或者session riding，通常縮寫為csrf或者xsrf，是一種對 的惡意利用。儘管聽起來像跨站指令碼 xss 但它與xss非常不同，xss利用站點內的信任使用者，而cs...
CSRF攻擊原理
跨站請求偽造和跨站請求保護的實現 圖中browse是瀏覽器，webservea是受信任 被攻擊 a，webserverb是惡意 攻擊 b 1.一開始使用者開啟瀏覽器，訪問受信任 a，輸入使用者名稱和密碼登入請求 a 2.a驗證驗證使用者資訊，使用者資訊通過驗證，a產生cookie資訊並返回給瀏覽器 ...