CSRF（跨站请求伪造）

CSRF（跨站请求伪造）是一种诱导已登录用户的浏览器向受信任网站发送非本人意愿请求，从而借用其身份执行操作的 Web 安全攻击。

概述

用户登录网站后，浏览器通常会在后续请求中自动携带 Cookie 等身份凭据。攻击者可在恶意网页、邮件内容或第三方页面中放置隐藏表单、链接或特制资源请求，诱使浏览器向目标网站提交转账、修改资料、绑定账号等指令。

CSRF 利用的是网站对用户浏览器及其登录状态的信任。攻击者通常不需要知道用户密码，也往往无法读取目标网站的响应内容，但只要接口缺少有效验证，就可能让请求产生实际效果。它与 XSS 不同：XSS 主要是在受信任页面中执行恶意脚本，而 CSRF 侧重伪造来自用户浏览器的操作。

主要特点

• 依赖登录状态：浏览器会自动附带 Cookie、HTTP 认证信息等凭据。
• 用户不易察觉：请求可由隐藏表单、图片标签或自动提交脚本触发。
• 针对状态变更：常见目标包括修改密码、变更邮箱、提交订单或执行管理操作。
• 通常不能读取响应：同源策略常会阻止攻击页面读取数据，但不一定阻止请求被发送。

防护方法

服务端应为状态变更请求加入不可预测且与会话绑定的 CSRF Token，并校验 Origin 或 Referer 请求来源。Cookie 可设置合适的 SameSite 属性，敏感操作还应要求重新认证或二次确认。接口设计上不应使用 GET 请求修改数据，也不能只依赖隐藏字段、固定参数或前端校验。需要注意，XSS 漏洞可能绕过多种 CSRF 防护，因此还应同时做好输入处理、输出编码与内容安全策略。

常见问题

问：使用 HTTPS 能防止 CSRF 吗？答：不能。HTTPS 可保护传输过程，但无法判断请求是否出自用户真实意愿。

问：SameSite Cookie 足够安全吗？答：它能降低跨站携带 Cookie 的风险，但受业务场景、浏览器兼容性和配置影响，通常应与令牌及来源校验配合。

问：前后端分离项目也会受到影响吗？答：如果认证凭据会被浏览器自动附带，仍需防范；若令牌必须由应用代码主动加入请求头，风险模型会有所不同。