跨站请求伪造（CSRF）攻击详解（译）

CSRF网络安全Web安全什么是CSRF跨站请求伪造Cross-site request forgery简称CSRF是一种攻击方式攻击者诱使受害者的浏览器从恶意网站向目标网站发送HTTP请求。该请求携带用户的凭据如Cookie服务器误以为这是用户本人的意图从而执行某些有害操作。CSRF攻击的条件CSRF攻击可能发生当网站满足以下条件时使用HTTP请求来改变服务器上的状态例如通过GET或POST请求修改数据。依赖浏览器自动附加的凭据如Cookie、HTTP认证信息来验证用户身份。没有使用有效的CSRF防护机制如CSRF令牌、SameSite Cookie属性等。攻击示例假设用户已登录银行网站且浏览器中保留了会话Cookie。攻击者构造一个恶意页面其中包含一个隐藏的图片或表单指向银行网站的转账接口。当用户访问该恶意页面时浏览器会自动发起请求携带用户的Cookie导致银行服务器执行转账操作而用户毫不知情。防护措施常见的CSRF防护方法包括使用CSRF令牌Token在表单中嵌入随机生成的令牌服务器验证令牌是否匹配。检查请求头中的Origin或Referer字段确保请求来自合法来源。设置Cookie的SameSite属性为Strict或Lax限制跨站请求携带Cookie。对于敏感操作要求用户进行二次确认如输入密码或验证码。译文来源MDN CSRFCC BY-SA 2.5 (MDN)由本人翻译整理转载请注明出处。