CSRF跨站请求攻击

CSRF：跨站请求攻击，本质就是利用正常用户作为媒介，模拟用户操作去攻击用户登录过的正常网站
原理：
1、用户登录正常网站，拿到令牌存储在cookie中

2、用户访问恶意站，恶意网站通过某种形式请求用户登录过的网站（伪造请求），强迫用户携带令牌去请求正常网站，从而进行一些恶意操作。

了解了什么是CSRF，可以从以下几个方面去防御
1-cookie中的SameSite（对于太旧版本的浏览器无效，谷歌51版本以上有效，ie6
不支持）
原理：（cookie只能在我自己的页面A（同一个域）发送给我B，不能在别人的页面C发送给我B，因为CSRF携带的cookie的发送请求是在别人的页面C里的发送的）
SameSite取值：
① strict：所有跨站请求都不附带cookie，用户体验不好
② Lax：允许所有跨站的 超链接请求、get请求表单、预加载连接时会发送cookie