CSRF

CSRF是什么？CSRF攻击的本质原因及防御手段？

CSRF（Cross-siterequestforgery跨站请求伪造，是一种对网站的恶意利用）；它与XSS不同，攻击方式几乎相左，XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。
原理：网站通过隐式认证认证用户时，只要不关闭浏览器或退出，以后访问相同网站时，浏览器会自动在请求中附带上认证信息，如果浏览器被其他网页控制请求了这个网站的URL，可能会执行一些用户不希望的功能。
CSRF防御：
*通过referer（HTTP请求header的一部分）、token或者验证码来检测用户提交
*尽量不要在页面的链接中暴露用户隐私信息
*对于用户修改删除等操作最好都使用post操作
*避免全站通用的cookie，严格设置cookie的域