csrf攻击原理

1 csrf攻击的原理是什么？ 当你取得A网站的信任后，访问B网站，在B网站含有假装的访问A请求，这样你就带着A网站的cookie，去访问A的后台。

2 跨域不能访问cookie，为何在B网站能携带A网站的cookie。能够把图片的crc属性编辑成一条访问A网站的请求。因为你访问的是A网站，携带A网站的cookie是理所应当的。

3 如何防范？http的请求头有个reffer属性，表明了请求的来源，就是从哪一个网站发起的请求。后台校验请求是否来自A网站，若是不是则拦截请求。绝大多数的状况下是可行的，不过某些旧浏览器，如早版本的ie，听说能够修改reffer，有些其余技术貌似也能够修改新的浏览器。

4 另外一种方式是token验证。在登陆成功后，服务端生成一个随机token给浏览器。浏览器在提交表单的时候携带token，后台校验token与给浏览器的是否相同，若是不同则拦截。

5 注意的是，这个token不能存储到cookie中，由于csrf攻击就是骗取你的cookie，放在cookie中工做就白费了。想到的方法是存到js的全局变量中。