CSRF 跨站请求伪造攻击

攻击原来

  • 登录服务器，拿到 cookie 或者 token，用户根据网站请求的规则（参数编码等）可以构造 HTTP 请求，发送数据，不局限在浏览器页面

解决方案

  • 动态 token，加载页面生成 token，提交数据使用当前页面生成的 token，增加伪造请求的难度
  • 参数加密，js 代码混淆等

推荐阅读：