CSRF

定义

CSRF(跨站请求伪造)是一种诱导已登录用户在不知情的情况下,向其已认证的站点发起非预期请求的攻击。攻击者借用的是用户已有的身份凭证。[1]

原理

浏览器在发起请求时会自动携带目标站点的Cookie。若服务端仅凭Cookie判断身份而未校验请求来源,攻击者构造的隐藏请求便会以受害者身份被执行,如转账或修改设置。

防护

• CSRF Token:在表单中嵌入随机令牌并在服务端校验。
• SameSite Cookie:限制跨站请求携带Cookie。
• 校验Origin/Referer来源头。
• 对敏感操作要求二次确认或重新认证。