有关“Token防范CRSF攻击”的理解(1)，2024年最新网络安全工作资料

先自我介绍一下，小编浙江大学毕业，去过华为、字节跳动等大厂，目前阿里P7

深知大多数程序员，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年最新网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上网络安全知识点，真正体系化！

由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新

如果你需要这些资料，可以添加V获取：vip204888 （备注网络安全）

正文

2. 为什么Token可以防止CSRF而Cookie不行

2.1 Cookie为什么会造成CSRF

首先说下Cookie为什么可以被坏人拿来进行CSRF

我们都知道，浏览器发送请求时会带上Cookie来向服务端Session发送一些用户偏好等信息，来解决HTTP无状态的缺陷。

有一些请求是form 发起的不受到浏览器同源策略的限制都，比如 POST ，因此可以任意地使用其他域的 Cookie 向其他域发送请求，形成 CSRF 攻击。

2.2 为什么Token不会呢？

这涉及到Token与Cookie的一个区别：

• 请求时，Token由前端【手动】添加
• Cookie由浏览器无脑【自动】添加

比如：

我们在A网站登录后，创建对应的session，浏览器也保存了对应的Cookie，并且没有关闭这个Session；

然后跳到不正经的网站B瞅几眼，不小心点到不正经的图片，马上要被利用进行CRSF攻击了！

这时候Token与Cookie的差别就出现了：

• Cookie会在B网站被浏览器【自动】装进请求头一起发出去，CRSF攻击就达成了
• Token不是浏览器自动装的，需要A网站前端【手动】装进请求，所以在B网站就不会被盗用

因此， Token可以抵抗CSRF攻击。

但是如果把Token放在Cookie里就另说了…

3. Token就一定安全了吗

当然不是，只是说他能防CSRF。

如果用的是HTTP协议，那Token也有被抓包解析重用的风险，当然也有对应的应对方法，这里先不说了

4. 其他应对CSRF的方法

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化的资料的朋友，可以添加V获取：vip204888 （备注网络安全）

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！**