CSRF-跨站请求伪造

CSRF(Cross site request forger)跨站请求伪造，利用了网站对用户浏览器的信任，把攻击者伪装成合法用户向服务器发送请求，以达到其不可告人的目的。他的大致攻击流程是这样的：

1. 用户访问一个正常网站，并在这个正常网站上进行了登陆，这时正常网站返回一个cookie来表明该用户已经登陆。
2. 用户在cookie失效前，又访问了恶意网站。
3. 恶意网站注入了一段恶意请求，这个请求指向用户刚刚访问的正常网站。
4. 这个恶意请求会携带上正常网站的cookie，从而在服务端让恶意请求被误认为是用户正常发送的请求。

例如：某银行的转账api为一个get请求：http://www.myBank.com/transfer?target=xx&amount=xx 其中target表示转账目标，amount表示转账金额。用户在登录后拿到一个isLogin: true的cookie。这时用户访问恶意网站，在恶意网站中存在一个img：

<img src='http://www.myBank.com/transfer?target=badGuy&amount=3000'/>

当浏览器开始加载这个图片时，会向src这个地址请求数据，同时会带上http://www.myBank.com这个domain下的cookie，在银行的服务器角度看来，这个请求是完全合法的。用户就会发现自己的卡里少了3000。

首先我们会发现，这个转账请求使用get方法就很不合理，如果我们使用post方法是不是就可以避免CSRF呢？也并不是。比如我们现在使用post请求，那么这个api就会变成ÿ