跨站请求伪造（CSRF）：当你被自己的浏览器“背叛”时

跨站请求伪造（CSRF）：当你被自己的浏览器“背叛”时

想象一下这样一个场景：你正舒舒服服地躺在沙发上，登录着你最喜爱的社交媒体网站。此时，你在另一个标签页中不小心点开了一个恶意网站。几分钟后，你惊讶地发现你的社交媒体上自动发布了一条垃圾广告，或者你的邮箱联系人都收到了一封诡异的邮件。

你什么都没做，不是吗？但攻击已经完成了。这就是跨站请求伪造（CSRF，有时也读作“sea-surf”） 的可怕之处——它利用了你浏览器对网站的信任，让你在毫不知情的情况下执行了非本意的操作。

今天，我们就来彻底揭开CSRF的面纱，了解它如何工作，以及如何防御它。

一、 CSRF到底是什么？

跨站请求伪造是一种挟制用户在当前已登录的Web应用程序上执行非本意操作的攻击方法。

它的核心攻击思路可以概括为：攻击者欺骗用户的浏览器，让它向用户已认证（已登录）的网站发送一个精心伪造的请求。

关键在于，浏览器会自动携带目标网站（如你的银行网站）的Cookie（包括你的会话标识符），从而让这个伪造的请求看起来就像是你自己发出的合法请求一样。

二、 CSRF是如何发生的？一个经典比喻

让我们用一个简单的比喻来理解它：

1. 你登录了银行：这就像你向银行出示了你的身份证，银行