CSRF方法总结：别再被伪造请求坑了，这些防御套路你得知道！
嘿,朋友们！今天咱们来聊聊一个老生常谈但又特别容易被忽视的安全话题——CSRF，说实话，我第一次接触这个概念的时候，脑子里全是问号：什么鬼？跨站请求伪造？听起来好像很厉害的样子，但实际上呢，它就是一种让你在不知情的情况下，被黑客“借刀杀人”的攻击方式，别急，今天我就把我这些年踩过的坑、总结的经验，一股脑儿全倒出来，咱们好好唠唠CSRF方法总结这事儿。
CSRF到底是个啥？先搞明白再谈防御
CSRF（Cross-Site Request Forgery）就是攻击者诱导你在已经登录了某个网站的情况下，去点击一个恶意链接或者加载一个恶意页面，然后你的浏览器就会带着你的身份凭证（比如Cookie），向那个网站发送一个你本意并不想发的请求，哎呀，这不就等于别人拿着你的钥匙去你家搬东西吗？关键是，服务器还以为是你要搬的，因为它只认钥匙不认人。
我刚开始做Web开发那会儿,总觉得“我又不是银行，谁闲着没事攻击我啊”，结果呢？有一次测试环境里，一个同事不小心点了个钓鱼链接，直接把管理员账号给“送”出去了，那会儿我才意识到，CSRF这玩意儿，真的是防不胜防。
CSRF方法总结：常见的攻击套路有哪些？
说到CSRF方法总结,咱们得先看看攻击者都有哪些招数，我大致归了几类，你们感受一下：
-
GET型CSRF：最常见也最简单，比如你登录了某网站，然后攻击者给你发个链接
http://example.com/delete?id=123，你一点，得，数据没了，这种就是利用了GET请求可以直接通过URL触发的特性。 -
POST型CSRF：稍微高级一点，攻击者会构造一个自动提交的表单页面，你一打开，表单就自动往目标网站发POST请求，你甚至看不到任何反应，但后台已经执行了操作。
-
Flash型CSRF（现在少了，但曾经很猖狂）：利用Flash的跨域请求能力，绕过一些浏览器的限制，不过随着Flash的淘汰，这个基本退出历史舞台了。
-
JSON Hijacking：这个有点意思，主要是针对返回JSON数据的接口，攻击者通过
<script>标签加载JSON，然后利用JavaScript的特性去读取数据，不过现代浏览器基本都修了。
说实话,每次我做CSRF方法总结的时候，都会感叹：攻击者的脑洞真是比黑洞还大，但别怕，咱们有防御手段。
防御CSRF，我常用的这几招
好了,重点来了，下面这些是我在实际项目中反复验证过的CSRF防御方法，绝对干货，记得收藏！
CSRF Token：最经典也最有效
这是我最推荐的方式,原理很简单：服务器生成一个随机Token，嵌入到表单或者请求头里，每次请求都要带上这个Token，服务器验证通过才处理，攻击者因为拿不到这个Token（同源策略限制），所以伪造的请求就歇菜了。
我一般会在Session里存一份Token,然后前端每次请求都带上，注意啊，Token一定要随机、足够长，而且不要放在Cookie里，否则就白搭了。
验证Referer头：简单但别全信
检查请求的Referer是不是来自本站,这招挺方便的，但问题是，有些浏览器或者隐私设置会直接不带Referer，或者攻击者能伪造，所以我的建议是：可以作为辅助手段，但别当主力。
SameSite Cookie属性：现代浏览器的福音
这个我得好好夸一夸,设置Cookie的SameSite属性为Lax或者Strict，就能有效防止跨站请求携带Cookie。Lax模式下，只有顶级导航的GET请求才会带Cookie，POST、iframe啥的都不带。Strict就更严格了，任何跨站请求都不带。
我现在的项目里,基本上所有敏感Cookie都会加上SameSite=Strict，不过要注意兼容性，老浏览器可能不支持，但2023年了，该淘汰的也差不多了。
双重Cookie验证：有点绕但管用
思路是：除了Cookie里的Session ID，再额外生成一个随机值，同时放在Cookie和请求参数里，服务器对比这两个值是否一致，攻击者能伪造请求，但没法读取Cookie里的值（同源策略），所以没法让两者一致。
这招我用过几次,效果不错，就是实现起来稍微麻烦点。
自定义请求头：简单粗暴
比如要求所有敏感请求必须带一个自定义头,比如X-Requested-With: XMLHttpRequest，因为浏览器跨域时不允许自定义头，所以攻击者没法伪造，这招适合AJAX请求，但如果是表单提交，就有点尴尬了。
我的CSRF方法总结心得
说了这么多,其实我最想强调的是：没有银弹，CSRF防御从来不是靠单一方法就能搞定的，你得根据业务场景，组合使用，比如我现在的项目里，就是Token + SameSite + Referer三重保险，再加上关键操作二次验证。
还有啊,别忘了定期做安全测试，我每次上线新功能，都会用OWASP ZAP扫一遍，看看有没有遗漏的CSRF漏洞，别嫌麻烦，安全这事儿，宁可事前多流汗，也别事后流泪。
如果你也在做CSRF方法总结,欢迎在评论区交流，咱们一起把安全做得更扎实，别让那些“借刀杀人”的招数得逞，毕竟，谁也不想一觉醒来，发现自己的账号被用来干了坏事，对吧？
好了,今天就唠到这儿，记得给我点个赞，转发给需要的朋友，咱们下期见！