CSRF(跨站请求伪造) 攻击

CSRF认识

CSRF（Cross-site request forgery），中文名称：跨站请求伪造，也被称为：one click attack/session riding，缩写为：CSRF/XSRF。
CSRF攻击即用户身份被盗用，发送恶意请求。比如以你的名义发邮件，发消息，盗取账号购买商品等。

CSRF原理

CSRF攻击须具备两个条件：
1.登录受信任网站A，并在本地生成Cookie。
2.在不登出A的情况下，访问恶意网站B。
下面的情况会产生这两个条件：
1.你登录了一个网站后，再打开一个tab页面并访问另外的网站。
2.你关闭浏览器，本地的Cookie并没有立刻过期。（关闭浏览器不能结束一个会话）
3.上图中攻击网站，可能存在于其他可信任的经常被人访问的网站。

##CSRF的防御方式
CSRF的防御可以从服务端和客户端两方面进行。
服务端：
（1）生成随机码