CSRF

CSRF

这篇笔记还在编辑中，内容可能会继续补充、调整或重写。

核心认识

CSRF 利用浏览器自动携带 Cookie 的行为，诱导已登录用户发起非预期请求。可通过 SameSite Cookie、CSRF Token、Origin 校验以及避免用 GET 修改状态来防护。

学习重点

  • 理解攻击成立所需的信任边界、数据流和浏览器安全机制
  • 优先采用安全默认值、输出编码和最小权限，而非依赖黑名单
  • 把前端防护与服务端校验、监控和应急响应组合起来

实践检查

  • 能用自己的话解释“CSRF”
  • 能在最小项目中完成一次与“CSRF”相关的验证
  • 能记录常见问题、取舍依据和排查方法