什么是 CSRF，你如何防止它？

Question

什么是 CSRF，你如何防止它？

Accepted Answer

**CSRF（跨站请求伪造）** 欺骗已登录用户的浏览器对其已认证的网站发送 **不需要的请求** — 在用户不知情的情况下执行操作（转账、更改），利用浏览器自动发送凭证/cookies 的特性。 ## CSRF 如何工作 ```text The attack exploits that browsers AUTO-SEND cookies (incl. session cookies) with requests: 1. a user is LOGGED IN to a site (has a session cookie) 2. the user visits a MALICIOUS page (or clicks a crafted link) 3. that page makes a request to the target site (e.g. a hidden form auto-submitting) 4. the browser AUTOMATICALLY includes the user's session cookie → the site thinks it's a legitimate request from the user → performs the action (transfer money, change email) → the user unknowingly performs an action they didn't intend. ``` ```html ``` ## 防止 ```text ✓ CSRF TOKENS → a unique, unpredictable token per session/form that the server verifies; the attacker's site can't know it → the forged request fails (the primary defense) ✓ SameSite COOKIES → SameSite=Lax/Strict → cookies NOT sent on cross-site requests → blocks CSRF (now a strong, default-ish browser defense) ✓ Check Origin/Referer headers; require re-authentication for sensitive actions ✓ Don't use GET for state-changing actions (use POST/PUT/DELETE properly) → Frameworks often provide CSRF protection built in — enable/use it. ``` ## 为什么这很重要理解 CSRF 及其防止方法是有价值的，因为这是一个 **常见的网络漏洞**，它利用浏览器的工作方式，允许攻击者以已认证用户的身份执行操作，因此对网络开发人员来说是重要的安全知识。理解 **CSRF 如何工作** — 利用浏览器 **自动发送 cookies**（包括会话 cookies）与请求这一事实，恶意页面可以对用户已登录的网站触发请求，浏览器包含会话 cookie，使网站将伪造请求视为合法请求并执行操作（转账、账户更改），而不需要用户同意 — 是掌握这种细微但危险的攻击所必需的。 CSRF 很危险，因为它可以在受害者不知情的情况下执行敏感操作，而且它是常见的网络漏洞。理解 **防止方法** 至关重要：**CSRF token**（每个会话/表单的唯一、不可预测的 token，由服务器验证 — 攻击者的网站无法知道它，因此伪造请求会失败；传统的主要防御方式）、**SameSite cookies**（设置 SameSite=Lax/Strict 以防止 cookies 在跨站请求中被发送，现在是强大的浏览器级防御，越来越成为默认设置）、检查 Origin/Referer 头、要求对敏感操作进行重新认证，以及不对状态更改操作使用 GET。理解 **框架通常提供内置的 CSRF 保护**（应启用并使用）在实践中很重要。 CSRF token 和 SameSite cookies 的组合提供了强大的保护。由于 CSRF 是一种常见的网络漏洞，利用浏览器行为以已认证用户的身份执行不需要的操作，而且由于理解它如何工作以及如何防止它（CSRF token、SameSite cookies、框架保护）对网络开发人员很重要，理解 CSRF 及其防止方法是有价值的、实际相关的安全知识 — 一个重要的网络漏洞，需要理解和防御，其中防御措施（CSRF token 和 SameSite cookies）是保护用户免受欺骗执行不需要操作的关键知识，对任何具有已认证状态更改操作的网络应用程序来说是一个显著的攻击类别。