CSRF（Cross-site request forgery，跨站请求伪造）伪造请求，冒充用户在站内的正常操作，比如爬虫。

防范的方法

  • 关键操作只接受POST请求
  • 验证码（短信验证码）
  • 检测Referer（header的一部分,当浏览器向web服务器发送请求的时候,一般会带上Referer,告诉服务器我是从哪个页面链接过来的。可以伪造）
  • Token

Token要足够随机——只有这样才算不可预测

Token是一次性的，即每次请求成功后要更新Token——这样可以增加攻击难度，增加预测难度

Token要注意保密性——敏感操作使用post，防止Token出现在URL中