CSRF跨站请求伪造原理和防御

如何进行：

当你在某网页登录后，在没有关闭网页的情况下，收到别人的链接。例如：http://xxx.xxx.xxx.xxx/dva/csrf/?password_new=1&password_conf=1&Change=Change# 点击链接，会利用浏览器的cookie把密码改掉。

主要原理：

在没有关闭相关网页的情况下，点击其他人发来的CSRF链接，利用客户端的cookie直接向服务器发送请求。

防御手段：

检测Referer

Anti-CSRF token机制

业务上要求用户输入原始密码（简单粗暴），攻击者在不知道原始密码的情况下，无论如何都无法进行CSRF攻击。