shiro csrf

Shiro (Spring Security Integration for Java) 是一款强大的安全框架，它支持跨站请求伪造(Cross-Site Request Forgery, CSRF)保护机制。CSRF是一种常见的网络安全攻击，攻击者通过诱骗用户在一个网站上执行操作（如登录、提交表单），而用户毫不知情。Shiro的CSRF防护通常通过以下几个步骤来实现：

1. **生成token**：当用户成功登录后，Shiro会生成一个随机的CSRF token，并将其存储在用户的session或者cookie中。

2. **验证token**：对于后续的敏感操作，服务器会在HTTP头或者POST数据中检查是否存在相同的CSRF token。如果请求中包含且与session或cookie中的token匹配，那么请求被视为有效；如果不匹配，则拒绝请求。

3. **防止攻击**：攻击者无法预测到这个token，因为它是随机生成并且只在用户的浏览器中存在。这就阻止了他们直接构造恶意链接发送给其他用户。

Shiro还提供了一种自定义的方式去配置CSRF策略，比如设置token的有效期、存储位置等。开启CSRF保护可以提高应用的安全性。