<计算机与网络篇> CSRF

CSRF（Cross-Site Request Forgery，跨站请求伪造）是一种网络攻击方式，攻击者通过恶意构造的网页或程序，诱使已登录目标网站的用户在不知情的情况下执行某些操作。这种攻击利用了网站对用户浏览器的信任以及用户的登录状态。

在 CSRF 攻击中，攻击者通常会创建一个包含恶意请求的链接或表单，然后欺骗用户点击或者通过其他方式（如社交工程）触发这个请求。由于用户已经登录了目标网站，他们的浏览器会自动附带上任何必要的认证信息（如 session cookie）发送到服务器。服务器误以为这个请求来自于真实用户，从而执行了攻击者预设的操作，可能包括转账、更改密码、删除数据等敏感操作。

防止 CSRF 攻击的主要方法包括：

1. 使用 CSRF 令牌：服务器在生成每个敏感操作的表单时，同时生成一个唯一的、难以预测的令牌。这个令牌需要作为隐藏字段包含在表单中，并在服务器端验证其有效性。

2. 双重提交确认：要求用户进行两次确认，例如在进行转账操作时，除了提交转账表单外，还需要输入一次验证码或者进行二次确认。

3. 同源策略：限制来自不同源的请求访问某些敏感接口。

4. 检查 Referer 头：检查 HTTP 请求的 Referer 头，确保请求来自于预期的域名。但是这种方法并不十分可靠，因为 Referer 头可以被某些浏览器设置或网络环境屏蔽。

5. 使用 HTTPS：虽然不能直接防止 CSRF，但使用 HTTPS 可以保护传输中的数据不被篡改或窃听，增加攻击难度。

通过实施这些防御措施，可以显著降低 CSRF 攻击的风险。