什么是 CSRF（跨站请求伪造）？ 如何防御它？
最新回答
﹎回★忆﹎
2026-10-29 22:24:38
CSRF是一种利用目标网站的缺陷，通过诱导用户在已登录的网站执行恶意请求的攻击手段，可能造成账户信息泄露或资金损失。
要防御CSRF，可以采取以下策略：
1. 限制敏感操作的HTTP方法和来源： 仅允许安全的HTTP方法：例如，仅允许POST请求进行敏感操作，而GET请求通常被认为是安全的，不应用于修改资源。 检查请求来源：通过检查Referer头部或其他手段，确保请求来自受信任的源。
2. 使用CSRF Token： 生成随机字符串：在服务器端生成一个随机的CSRF Token，并将其存储在服务器和客户端。 请求验证：在每次敏感请求时，客户端需要将CSRF Token发送到服务器，服务器进行验证以确保Token的有效性。
3. 利用CORS技术： 配置CORS策略：服务器应配置CORS策略，限制哪些源可以访问其资源。 浏览器检查：浏览器会根据服务器的CORS配置，阻止不符合规定的跨域请求。
4. 设置Cookie的SameSite属性： 防止第三方利用：通过设置Cookie的SameSite属性为Lax或Strict，可以防止第三方站点利用用户的登录状态进行CSRF攻击。
5. 综合使用多种手段： API网关支持：利用API网关如Apache APISIX和API7 Enterprise等，它们支持CSRF Token和CORS策略等多种安全防护手段。 多层防护：在服务器端、浏览器和协议层面实施多重防护措施，确保网站安全。
热门标签
