# CSRF
# 什么是CSRF
- Cross-site request forgery 跨站请求伪造
- 利用用户的登录状态发起恶意请求 (A网站正常登录后, cookie正常保存登录信息,B网站调用A的接口进行操作, A的接口在请求时会自动带上cookie)
# 如何攻击
- 加入一个图片,图片的地址=网站通过GET请求提交用户评论的接口
<img src="http://www.domain.com/xxx?comment='attack'"/>
1
# 如何防御
- get不修改数据
- 请求时附带验证信息: 验证码/token
- SameSite Cookies: 只在当前域名的网站发出的HTTP请求能携带这个cookie (兼容性)