Web前端安全学习-CSRF

今天下午上了一堂前端安全的课，挺有意思，记录下来。在上课之前，我对安全的概念是：

用户输入是不可信的，所有用户的输入都必须转义之后才入库。

然后，上面这个这种方式，仅仅是防止SQL注入攻击，避免业务数据库被渗入。

在数据库有了一层安全保护之后，攻击者们的目标，从服务器转移到了用户身上。由此，出现了CSRF攻击和XSS攻击。

CSRF

CSRF (Cross-Site-Request-Forgery) 全称是跨站请求伪造。是攻击者伪造用户身份，向服务器发起请求已达到某种目的的攻击。

GET类型的CSRF

假如有一个业务系统API，其有一个点赞的api是domain.com/api/like?pi… ，如果想要刷pid为111的点赞，只需要构建一个简单的HTTP请求即可。

javascript
复制代码