跨域与CSRF攻击

作者：刘旭濠

跨域每个程序员都要掌握的一门知识，其实我一开始也不知道什么是跨域甚至是第一次听到好奇这是啥玩意（毕竟我还是小白一个）不过看了网上一堆资料虽然有点乱但是还是理解了一些，那么我来分享一下我的理解吧，那么什么是跨域，跨域就是指浏览器不能执行其他网站脚本，是对浏览器对JavaScript加的安全限制，为什么要限制呢，那就是怕CSRF攻击，至于CSRF攻击是什么接下来也会讲到的。
那么我就这样比较就是，如果你的a页面要获取b页面资源，但是两个页面的协议，域名，端口和子域名不同，就要进行跨域获取，这就是跨域，但是浏览器为了这个安全就限制了跨域访问，但是为什么要限制呢，之所以为什么要限制，那是因为为了安全问题，避免跨域请求可能被不法分子利用来发动CSRF攻击
那么什么CSRF攻击？
CSRF攻击就是跨站请求伪造，也称为one click attack/session riding，缩写为CSRF/XSRF，攻击者怎么进行攻击呢？就是在用户已经登录目标网站后，引诱用户访问一个攻击页面，利用网站对用户达到信任，以用户身份在攻击页面对目标网站发起伪造用户操作的请求，从而达到攻击者目的
攻击的原理是这样的（大概吧）：有两个网站，其中A网站是真实受信任的网站，而B网站是危险网站。在用户登陆了受信任的A网站是，本地会存储A网站相关的Cookie，并且浏览器也维护这一个Session会话。这时，如果用户在没有登出A网站的情况下访问危险网站B，那么危险网站B就可以模拟发出一个对A网站的请求（跨域请求）对A网站进行操作，而在