跨站请求伪造

CSRF是什么？

跨站请求伪造(Cross Site Request Forgery，CSRF)是一种攻击，它强制浏览器客户端用户在当前对其进行身份验证后的Web 应用程序上执行非本意操作的攻击，攻击的重点在于更改状态的请求，而不是盗取数据，因为攻击者无法查看伪造请求的响应。
借助于社工的一些帮助，例如，通过电子邮件或聊天发送链接，攻击者可以诱骗用户执行攻击者选择的操作。如果受害者是普通用户，则成功的CSRF 攻击可以强制用户执行更改状态的请求，例如转移资金、修改密码等操作。如果受害者是管理账户，CSRF 攻击会危及整个Web 应用程序。

CSRF是跨站请求伪造攻击，它不像XSS和SQL注入会盗取用户的信息，它的目的是强制浏览器客户端用户执行攻击者想要用户达成的目的，也就是更改用户状态的请求，如：转移资金和修改密码等操作，它分为get型和post型攻击。

原理

攻击者的网站诱骗用户访问用户原本的网站，并带有自己的身份凭证（cookie），执行攻击者的要求的操作，跨网站攻击，这就是CSRF跨站请求伪造。

防御

验证Referer

添加token

同源策略