四、CSRF防护方法

CSRF (Cross-Site Request Forgery) 防护是为了防止恶意网站通过用户已经登录的账户发送未经授权的操作到目标服务器。以下是几种常见的 CSRF 防护方法：

1. **Token验证**：在表单或敏感操作中添加一个随机生成的token，每次请求都需要附带这个token。服务端验证接收到的请求中的token是否匹配，如果不匹配则拒绝请求。

2. **Session管理**：确保用户的会话安全，比如设置合理的HttpOnly标志，避免JavaScript访问cookie，减少跨域攻击的可能性。

3. **Referer头检查**：检查HTTP Referer字段，看请求是否来自预期的域名，如果不是，则可能是伪造的。

4. **SameSite属性**：对于Cookies，启用`SameSite=Lax`或`Strict`可以限制Cookie在跨站请求中的使用，降低CSRF风险。

5. **CSP（Content Security Policy）**：内容安全策略，可以限制页面能加载哪些资源，从而防止恶意脚本发起攻击。

6. **验证码或二次确认**：对于重要的操作，可以在提交前要求用户再次输入密码或者其他验证信息。