Spring Boot项目CSRF (跨站请求伪造)攻击演示与防御

CSRF ，Cross-site request forgery，跨站请求伪造。是常见的网络攻击的方式之一，2007年曾被列为互联网20大安全隐患之一。攻击过程是攻击者伪造用户的浏览器请求，访问一个用户曾经访问过的网站， 使目标网站误以为是用户的操作而执行命令。

本篇j基于Spring Boot创建项目，用来演示CSRF 的攻击过程。

演示场景

在本地创建两个项目

1. bank ，银行网站， 需要登录后使用，该网站提供了一个 http://localhost:8080/transfer 的接口，接收两个参数account和money，用于向指定账号转账、
2. hack, 黑客网站， 本地演示可以直接使一个HTML文件 （csrf.html）， 直接在浏览器中打开就可以看到效果。也可以使用Spring Boot 创建另外一个项目。

项目创建步骤

1. 银行网站创建和运行

1. 进入Spring Boot的在线项目生成器页(https://start.spring.io/)， 生成bank 的项目框架， 选择 Web和Security。