挖掘经验 黑盒挖掘 抓包看看有没有token,如果没有token的话,再请求该页面,不带referer,如果返回数据还是一样很可能就存在csrf漏洞 白盒挖掘 读代码的时候,看看几个核心文件有没有验证token和referer相关的代码,这里的核心文件指的是被大量文件引用的基础文件,或者直接搜token这个关键字找,如果核心文件没有,再去看看你关心的功能点的代码有没有验证 漏洞防范 添加token验证