跨站请求伪造（Cross-Site Request Forgery，简称CSRF）是一种常见的网络安全漏洞，它允许攻击者利用用户的登录会话在用户不知情的情况下执行恶意操作。
CSRF攻击原理
CSRF攻击通常利用了用户的登录状态。当用户登录到某个网站后，网站会在用户的浏览器中设置一个cookie，用来标识用户的登录状态。攻击者可以通过构造特定的URL或者利用XSS漏洞，诱导用户点击，从而利用用户的登录状态执行恶意操作。
防御CSRF攻击的方法
使用CSRF令牌：在用户发起请求时，服务器生成一个CSRF令牌，并将其存储在用户的cookie中。在处理请求时，服务器会验证请求中携带的CSRF令牌是否与cookie中的令牌一致。
验证Referer头部：服务器可以检查请求的Referer头部，确保请求是从受信任的网站发起的。
使用HTTPS：使用HTTPS可以防止中间人攻击，从而减少CSRF攻击的风险。
限制用户权限：对用户的操作权限进行限制，避免用户执行敏感操作。
相关链接
CSRF攻击原理图