跨站请求伪造 CSRF的原理与应用

CSRF（Cross-Site Request Forgery）跨站请求伪造是一种网络攻击方式，攻击者通过某些手段欺骗用户在受信任的网站上执行非预期的操作，从而实现攻击目的。

攻击原理：

攻击者在受害者的浏览器中注入一个恶意代码，使得受害者在访问攻击者的网站或点击恶意链接时，会触发恶意代码向受信任网站发送请求，从而达到攻击的目的。

攻击应用：

1. 邮箱钓鱼

攻击者在邮件中嵌入一个图片标签，然后在图片的 URL 中携带了一个恶意请求，当用户打开邮件时，图片就会自动加载，从而触发恶意请求。

2. CSRF 攻击恶意网站

攻击者可以将恶意代码嵌入到自己的网站中，当用户访问恶意网站时，恶意代码会自动向受信任站点发送请求进行攻击。

3. 跨域攻击

攻击者可以在其他域名下的网站中，嵌入一个恶意代码，当用户在受信任站点中进行操作时，恶意代码就会向其他域名下的网站发送请求，从而达到攻击目的。

防范措施：

1. 验证请求来源

在服务器端校验请求是否来自受信任的站点，如果请求不是来自受信任站点，则拒绝请求。

2. 加入随机令牌

在表单中加入一个随机生成的 token ，然后在服务器端校验表单提交时所带的 token 是否一致，如果不一致，则拒绝请求。

3. 使用验证码

在敏感操作中，使用验证码来防止自动化攻击。

4. 浏览器加入 SameSite 属性

设置 cookie 的 SameSite 属性，限制 cookie 只能在同站点下发送，从而防止跨站请求伪造攻击。