CSRF 跨站请求伪造：借刀杀人之术

## 原理 浏览器对目标站的请求会自动带上 Cookie。恶意页面可构造指向目标站的表单/请求，在用户已登录时以用户身份完成「改密、转账、发帖」等状态变更。 前提通常是： - 使用 Cookie 会话； - 请求无不可预测的 CSRF Token； - 或 SameSite 等策略未生效。 ## 典型入侵过程 1. 分析目标站「改邮箱/转账」等敏感请求结构。 2. 在恶意页放置自动提交表单或图片请求。 3. 诱导已登录用户打开恶意页。 4. 浏览器带 Cookie 发出请求 → 业务被冒用。 5. 常与 XSS 组合：XSS 可读 Token，CSRF 难防场景更复杂。 ## 防御组合 - 同步 CSRF Token（表单 + 头）。 - Cookie `SameSite=Lax/Strict`。 - 关键操作二次确认 / 验证码。 - 校验 Origin / Referer（辅助）。 ## 注意 对 JSON API 也要防：简单请求可能被表单触发；复杂请求依赖 CORS，仍需 Token。