CSRF攻击是什么？如何防范呢？

网络安全中 CSRF 攻击是高频风险点。核心结论是：CSRF 攻击是攻击者利用用户已认证的身份，诱导其在信任的网站上执行非本意操作的跨站请求伪造攻击，防范核心是验证请求的真实性与发起者合法性。

一、CSRF 攻击的核心原理

• 用户先登录信任网站 A 并获得认证凭证（如 Cookie），且凭证未过期。
• 攻击者诱导用户访问恶意网站 B，或点击包含恶意代码的链接、图片。
• 恶意网站 B 向网站 A 发送伪造请求，请求自动携带用户浏览器中存储的网站 A 认证凭证。
• 网站 A 误认为是用户本人操作，执行该请求（如转账、修改密码、提交表单等）。

二、常见攻击场景

• 金融操作：诱导用户点击链接，触发伪造的转账请求。
• 账户设置：篡改用户的绑定手机号、邮箱等核心信息。
• 数据提交：在论坛、后台系统中伪造发布违规内容的请求。
• 权限操作：诱导用户授权第三方应用，获取不当权限。

三、核心防范措施

1. 验证请求来源：通过 Referer 或 Origin 请求头，校验请求是否来自可信域名，拒绝非法来源请求。
2. 使用 CSRF Token：服务器为每个用户生成唯一且随机的 Token，请求时需一并提交，服务器验证 Token 有效性。
3. 采用 SameSite Cookie 属性：设置 Cookie 为 SameSite=Lax 或 Strict，限制 Cookie 仅在同站请求中携带，阻断跨站请求的凭证传递。
4. 二次验证机制：对敏感操作（如转账、改密码），增加短信验证码、指纹等额外验证步骤。
5. 限制 Cookie 有效期：缩短认证 Cookie 的有效时间，降低攻击窗口；同时避免使用永久 Cookie。