user02（攻擊者）清楚地了解** a，並建立了具有攻擊性的** b。
user01（受害者）登入了** a 後，在自身的 session 未失效的情況下，訪問了惡意** b。
假如， user01 還未退出** a，在同一瀏覽器中，訪問了惡意** b。
** b 是 user02 建立的，user02 清楚地知道** a 的工作模式。** b 通過攻擊性**訪問** a（攜帶的是 user01 的 cookie），執行某些並非 user01 授意的操作。
** a 卻並不知道這個惡意請求是從** b 發出的，因此，就會根據 user01 在** a 中具備的相關許可權，執行許可權下的各種操作。這樣，就在 user01 不知情的情況下，user02 假冒 user01，執行了具備 user01 使用者身份的操作。
在請求位址中新增 token 並驗證
在 http 頭中自定義屬性並驗證
type=」hidden」
name=」csrftoken」
value=」tokenvalue」/>
CSRF攻擊及預防
參考部落格 csrf攻擊方式 csrf 攻擊的應對之道 csrf cross site request forgery 中文名稱 跨站請求偽造，也被稱為 one click attack session riding，縮寫為 csrf xsrf。你這可以這麼理解csrf攻擊 攻擊者盜用了你的身份，以...
CSRF 攻擊是什麼？如何防範？
csrf cross site request forgery 也被稱為 one click attack或者 session riding，中文全稱是叫跨站請求偽造。一般來說，攻擊者通過偽造使用者的瀏覽器的請求，向訪問乙個使用者自己曾經認證訪問過的 傳送出去，使目標 接收並誤以為是使用者的真實操作...
CSRF攻擊原理
假設a.cn這個 是乙個xx管理系統，我只有這個系統的普通使用者的賬戶，這個賬戶功能很有限，沒有管理員賬戶的許可權大，只有管理員賬戶能新增其它的管理員賬戶，我在使用這個 的過程中發現這個 在新增管理員的時候沒有驗證碼或者token驗證，只需要輸入賬號和密碼就可以新增管理員了，這樣的話意味著可以被cs...