CSRF的攻防

https://portswigger.net/web-security/csrf CSRF存在的状况：web 存在一个关键动做（转帐、改密码、改邮箱等敏感的增删改查操做） 应用对用户鉴权身份认证是基于session cookie的（浏览器会自动将相应域的cookie带上去访问相关请求，若是是特定请求头好比HTTP basic认证或者特殊token请求头认证，则浏览器不会自动带上） 攻击者能够知道

>>阅读原文<<