CSRF（Cross-site request forgery）跨站请求伪造：也被称为“One Click Attack”或者Session Riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。尽管听起来像跨站脚本（XSS），但它与XSS非常不同，XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。

原理

伪装受信任的用户请求，利用网站 主要攻击服务器端

条件

• 目标用户处于登录状态
• 用户必须访问攻击者构造的URL

核心：借cookie

攻击方式

• 基于表单
• 利用链接和重定向

危害

• 非法转账
• 篡改数据
• 执行恶意操作（修改用户信息，钓鱼链接、转账）

防御

• 验证 HTTP Referer 字段；
• 在请求地址中添加token并验证；

token比refer头更有效的原因：
token是服务器随机生成的、也有时间戳，很难伪造

• 在HTTP头中自定义属性并验证。
• 双重认证