昨天晚上有时看到csrf这个题目，所以就去了解了一下csrf究竟是个什么东西。
百度定义：

CSRF（Cross-site request forgery）跨站要求捏造，也被称为“One Click Attack”或许Session Riding，平常缩写为CSRF或许XSRF，是一种对网站的歹意应用。只管听起来像跨站剧本（XSS），但它与XSS异常差别，XSS应用站点内的信托用户，而CSRF则经由过程假装成受信托用户的要求来应用受信托的网站。与XSS进击比拟，CSRF进击每每不大盛行（因而对其举行提防的资本也相称希少）和难以提防，所以被以为比XSS更具危险性

一个简朴的例子：

某网上商城猎取一个定单概况的接口是127.0.0.1/orders/orderId，而且须要认证事后才接见这个接口
口。小明是这个商城的一个用户，已经由过程了认证，而且是经由过程cookie完成认证的。如今一个黑客也想要接见小
明在商城中某个定单的概况，他该怎么做呢？很简朴，只需在某个处所宣布一个链接地点是 
127.0.0.1/orders/orderId这个接口，诱使小明去点击这个链接发送要求。浏览器就会自动在这个要求上加上
之前认证过的cookie，而服务端是经由过程这个cookie考证是不是本人操纵的，如许黑客就在小明完整不知情的状况下 
 就得到了这个定单的概况。这个接口的操纵如果是 购置一个商品，删除邮件的话，效果将异常恐怖。

为何会涌现上面这类状况呢？

由于cookie是在向这个网页发送要求时自动照顾的，而我昨天搅扰的题目就是为何token会比cookie平安。        
缘由实在就是token平常存在sessionStorage或localStorage中，而它不能在本站点以外的其他站点猎取 
到，所以就算你在别处点击了一个包括这个接口的链接也不会致使token泄漏。

怎样提防csrf进击？
1.只管运用POST，限定GET

post相对get来讲更平安，然则照样能在链接中嵌套一个表单然后提交

2.设置浏览器cookie战略

制止在第三方网站上运用cookie

3.加考证码

每次发送主要要求都经由过程考证码和服务端举行认证，这也异常平安，然则用户体验不好，主要的操纵能够这也，但你不能关注一个用户或许宣布一个帖子也须要认证一次吧。

4.增添referer要求头搜检

referer要求头的值就是要求泉源的处所，服务端能够经由过程推断这个泉源去区分是不是时csrf进击，然则一些黑客照样能经由过程一些手艺很轻易的去变动这个要求头的值

5.运用token

这是最广泛的要领，每次发送要求都照顾这个token，它与cookie差别的是，token能够是无状况的，即服务端能够不必保留关于token的值，而是每次经由过程盘算考证这个token来推断是不是是当前用户。

黑客另有没有其他要领能猎取到小明定单的概况？

是能够的。黑客能够在商城一个商品的评价下面写入一个js剧本而且经由过程图片假装起来，只需小明查看了这个评价，这个js剧本就会自动加载，黑客就能够经由过程这个js剧本去猎取token值而且发送要求，由于当前js剧本是在本站内实行的，所所以能够接见到token。上面这个进击体式格局就是xss，经由过程在用户接见的页面嵌入js代码运用户或服务端遭到进击。

实在xss就是csrf的一种完成体式格局，xss的提防比较难题，由于黑客能够经由过程许多要领在网页中插进去js或html代码。能够经由过程在cookie中设置了HttpOnly属性，那末经由过程js剧本将没法读取到cookie信息，如许能有用的防备XSS进击。而关于xss提防又是另一个话题了…..

能够简朴明白为csrf是让用户在不知情的状况，冒用其身份发起了一个要求，而xxs就是经由过程在网页上插进去js或html代码发起进击

写的比较乱，就是token和cookie这里没有明白透致使这么久才搞懂这个题目。