CSRF 跨站请求伪造与 Token 防护实践

## 攻击模型 用户已登录可信站点 A。在访问恶意站点 B 时，B 诱导浏览器向 A 发起带 Cookie 的状态变更请求（改密、转账、发帖等）。 ## 防护组合 - **CSRF Token**：表单隐藏域 + 服务端校验，Token 不可被跨站读取。 - **SameSite Cookie**：`Lax`/`Strict` 降低跨站带 Cookie 概率。 - **关键操作二次确认**、验证码、Referer/Origin 校验（作辅助）。 ## Django 中的实践 Django 默认中间件会检查 CSRF。前后端分离场景需注意： - Cookie 中的 csrftoken 与请求头 `X-CSRFToken` 配对； - 勿把 CSRF 校验在公开接口上错误关闭。 ## 小结 CSRF 防的是「浏览器自动带身份」的滥用，和 XSS 常被组合利用，需一并治理。