CSRF是什么？
CSRF（Cross Site Request Forgery），中文是跨站点请求伪造。CSRF攻击者在用户已经登录目标网站之后，诱使用户访问一个攻击页面，利用目标网站对用户的信任，以用户身份在攻击页面对目标网站发起伪造用户操作的请求，达到攻击目的。
举个例子
简单版：
假如博客园有个加关注的GET接口，blogUserGuid参数很明显是关注人Id，如下：
http://www.cnblogs.com/mvc/Follow/FollowBlogger.aspx?blogUserGuid=4e8c33d0-77fe-df11-ac81-842b2b196315
那我只需要在我的一篇博文内容里面写一个img标签：
<img style="width:0;" src="http://www.cnblogs.com/mvc/Follow/FollowBlogger.aspx?blogUserGuid=4e8c33d0-77fe-df11-ac81-842b2b196315" />
那么只要有人打开我这篇博文，那就会自动关注我。
升级版：
假如博客园还是有个加关注的接口，不过已经限制了只获取POST请求的数据。这个时候就做一个第三方的页面，但里面包含form提交代码，然后通过QQ、邮箱等社交工具传播，诱惑用户去打开，那打开过博客园的用户就中招了。
在说例子之前要纠正一个iframe问题，有人会直接在第三方页面这样写。如下：
<!DOCTYPE HTML> <html lang="en-US"> <head> <title>CSRF SHOW</title> </head> <body> <!--不嵌iframe会跳转--> <iframe style="display:none;"> <form name="form1" action="http://www.cnblogs.com/mvc/Follow/FollowBlogger.aspx" method="post"> <input type="hidden" name="blogUserGuid" value="4e8c33d0-77fe-df11-ac81-842b2b196315"/> <input type="submit" value> </form> <script> document.forms.form1.submit(); </script> </iframe> </body> </html>
这样是用问题的，由于同源策略的原因，iframe内容根本加载不出来，所以里面form提交当然不会执行。
PS：我尝试了chrome、IE11、Firefox，情况都是这样。
所以可以用嵌多一层页面方式解决，如下：
第一个展示页面（test）:
<!DOCTYPE HTML> <html lang="en-US"> <head> <title>CSRF SHOW</title> </head> <body> <iframe style="display:none;" src="test2.html"></iframe> </body> </html>
第二个隐藏页面（test2）:
<!DOCTYPE HTML> <html lang="en-US"> <head> <title>CSRF GET</title> <body> <form name="form1" action="http://www.cnblogs.com/mvc/Follow/FollowBlogger.aspx" method="post"> <input type="hidden" name="blogUserGuid" value="4e8c33d0-77fe-df11-ac81-842b2b196315"/> <input type="submit" value> </form> <script> document.forms.form1.submit(); </script> </body> </html>
这样就可以解决了，有人会问为什么要加多一层iframe，因为不嵌iframe页面会重定向，这样就降低了攻击的隐蔽性。另外我们test页面不使用XMLHTTPRequest发送POST请求，是因为有跨域的问题，而form可以跨域post数据。
进阶版：
假如博客园还是有个加关注的接口，已经限制POST，但博文内容是直接贴进HTML（未过滤），那就遭受XSS攻击。那么就可以直接把上面代码嵌入博文，那么只要有人打开我这篇博文，还是会自动关注我，这组合攻击方式称为XSRF。
CSRF攻击的本质原因
CSRF攻击是源于Web的隐式身份验证机制！Web的身份验证机制虽然可以保证一个请求是来自于某个用户的浏览器，但却无法保证该请求是用户批准发送的。CSRF攻击的一般是由服务端解决。
CSRF工具的防御手段
1. 尽量使用POST，限制GET
GET接口太容易被拿来做CSRF攻击，看第一个示例就知道，只要构造一个img标签，而img标签又是不能过滤的数据。接口最好限制为POST使用，GET则无效，降低攻击风险。
当然POST并不是万无一失，攻击者只要构造一个form就可以，但需要在第三方页面做，这样就增加暴露的可能性。
2. 浏览器Cookie策略
IE6、7、8、Safari会默认拦截第三方本地Cookie（Third-party Cookie）的发送。但是Firefox2、3、Opera、Chrome、Android等不会拦截，所以通过浏览器Cookie策略来防御CSRF攻击不靠谱，只能说是降低了风险。
PS：Cookie分为两种，Session Cookie（在浏览器关闭后，就会失效，保存到内存里），Third-party Cookie（即只有到了Exprie时间后才会失效的Cookie，这种Cookie会保存到本地）。
PS：另外如果网站返回HTTP头包含P3P Header，那么将允许浏览器发送第三方Cookie。
3. 加验证码
验证码，强制用户必须与应用进行交互，才能完成最终请求。在通常情况下，验证码能很好遏制CSRF攻击。但是出于用户体验考虑，网站不能给所有的操作都加上验证码。因此验证码只能作为一种辅助手段，不能作为主要解决方案。
4. Referer Check
Referer Check在Web最常见的应用就是“防止图片盗链”。同理，Referer Check也可以被用于检查请求是否来自合法的“源”（Referer值是否是指定页面，或者网站的域），如果都不是，那么就极可能是CSRF攻击。
但是因为服务器并不是什么时候都能取到Referer，所以也无法作为CSRF防御的主要手段。但是用Referer Check来监控CSRF攻击的发生，倒是一种可行的方法。
5. Anti CSRF Token
现在业界对CSRF的防御，一致的做法是使用一个Token（Anti CSRF Token）。
例子：
1. 用户访问某个表单页面。
2. 服务端生成一个Token，放在用户的Session中，或者浏览器的Cookie中。
3. 在页面表单附带上Token参数。
4. 用户提交请求后， 服务端验证表单中的Token是否与用户Session（或Cookies）中的Token一致，一致为合法请求，不是则非法请求。
这个Token的值必须是随机的，不可预测的。由于Token的存在，攻击者无法再构造一个带有合法Token的请求实施CSRF攻击。另外使用Token时应注意Token的保密性，尽量把敏感操作由GET改为POST，以form或AJAX形式提交，避免Token泄露。
注意：
CSRF的Token仅仅用于对抗CSRF攻击。当网站同时存在XSS漏洞时候，那这个方案也是空谈。所以XSS带来的问题，应该使用XSS的防御方案予以解决。
总结
CSRF攻击是攻击者利用用户的身份操作用户帐户的一种攻击方式，通常使用Anti CSRF Token来防御CSRF攻击，同时要注意Token的保密性和随机性。
参考文献：
1. 《浅谈CSRF攻击方式》
2. 《白帽子讲Web安全》
http://www.cnblogs.com/lovesong/p/5233195.html
相关推荐
19考试真题最近的t44.txt
清华大学第三弹：普通人如何抓住DeepSeek红利
Python环境下的滚动轴承故障诊断优化算法：基于改进WDCNN的一维卷积神经网络与LSTM融合的时序信号处理研究,Python环境中基于改进WDCNN与LSTM融合的滚动轴承故障诊断方法研究——优化卷积核大小，提升诊断准确率并加速收敛速度的应用,Python环境下一种基于WDCNN的滚动轴承故障诊断方法 算法采用pytorch深度学习模块，对WDCNN进行改进，搭建了卷积核大小逐层递减的一维卷积神经网络，并减少了卷积层数量，达到了98%以上的诊断准确率，同时有着较快的收敛速度。 另外，针对时序信号的特点，将长短时记忆网络(LSTM)与搭建的一维卷积神经网络结合，提高分类准确率至99%以上，但收敛速度较单一的卷积神经网络较慢。 算法可迁移至金融时间序列，地震信号，语音信号，声信号，生理信号（ECG,EEG,EMG）等一维时间序列信号。 ,基于WDCNN的故障诊断方法; 卷积神经网络; 算法改进; 高诊断准确率; 收敛速度快; LSTM结合; 一维时间序列信号; 金融、地震、语音、生理信号诊断,Python下改进WDCNN的滚动轴承故障诊断法：深度学习提升诊断准确率与收敛速度
基于遗传算法优化的机器学习模型分类预测与回归分析技术概览：SVM、LSTM等算法应用,遗传算法优化机器学习模型在分类、回归与时序预测中的应用（支持SVM、RF等）matlab代码实践,遗传算法优化用于分类 回归 时序预测 遗传算法优化支持向量机SVM，最小二乘支持向量机LSSVM，随机森林RF，极限学习机ELM，核极限学习机KELM，深度极限学习机DELM，BP神经网络，长短时记忆网络 LSTM，Bilstm，GRU，深度置信网络 DBN，概率神经网络PNN，广义神经网络GRNN..... 以上有分类预测回归预测时序预测 matlab代码，可直接替数据使用，简单操作易上手。 ,遗传算法优化; 分类预测; 回归预测; 时序预测; 支持向量机SVM; 最小二乘支持向量机LSSVM; 随机森林RF; 极限学习机ELM; 深度极限学习机DELM; 神经网络操作; Matlab代码,遗传算法优化多种机器学习模型在分类、回归与时序预测中的应用
《多元系列污水处理及石油化工设备三维模型库：可编辑装配体与零部件模型集》,优质专业设备模型集萃：90套管道设备、石油化工与污水处理设备三维模型，可编辑修改尺寸，装配体模型与零部件一应俱全,共90套左右各类污水处理设备三维模型，管道设备三维模型，石油化工设备三维模型。 sw打开，大部分是可以编辑修改尺寸的。 有装配体模型，有零部件模型。 ,污水处理设备模型; 管道设备模型; 石油化工设备模型; 可编辑修改尺寸; 装配体模型; 零部件模型。,90套污水处理与石油化工设备三维模型库：可编辑装配体与零部件模型大全
2023-04-06-项目笔记-第四百一十八阶段-课前小分享_小分享1.坚持提交gitee 小分享2.作业中提交代码 小分享3.写代码注意代码风格 4.3.1变量的使用 4.4变量的作用域与生命周期 4.4.1局部变量的作用域 4.4.2全局变量的作用域 4.4.2.1全局变量的作用域_1 4.4.2.416局变量的作用域_416- 2025-02-23
**基于主从博弈算法的电热综合能源系统动态定价与能量管理：深度创新与高效求解的MATLAB代码实现**,MATLAB代码：基于主从博弈算法的电热综合能源系统智能动态定价与高效能量管理策略研究,MATLAB代码：基于主从博弈的电热综合能源系统动态定价与能量管理 关键词：主从博弈 电热综合能源 动态定价 能量管理 参考文档：自编文档，完全复现 仿真平台：MATLAB 平台 优势：代码具有一定的深度和创新性，注释清晰，非烂大街的代码，非常精品 主要内容：代码主要做的是电热综合能源系统的动态定价问题，采用是主从博弈方法，上领导者问题上，以综合能源系统整体的收益作为目标函数，考虑电价以及热价等相关约束，在下层跟随者模型上，以用户用能满意度最高为目标函数，构建了领导者-跟随者Stackelberg博弈模型，同时还考虑了系统的功率平衡条件以及热能平衡条件等约束，模型的上层求解采用粒子群算法，下层求解采用CPLEX求解器，考虑该代码具有一定的创新性，适合新手学习以及在此基础上进行拓展，代码质量非常高 ,主从博弈; 电热综合能源; 动态定价; 能量管理; Stackelberg博弈模型; 粒子群算
修复 "保存'/opt/rr'的修改" 后 主菜单锁死问题. 修复 trivial 插件的语法错误. 修复 open-vm-tools 套件 缺失的 SOCKETS 驱动. 添加 vmtools 插件, 包含 qemu-ga & open-vm-tools. 4.1. 该插件会自动判断环境并启用对应的功能, 物理机也不用刻意删除该插件. 4.2. 新安装用户会默认选中, 升级用户如需要请手动添加该插件. 4.3. 如启用该插件, 请不要再在系统中安装套件. 修复 wireless 插件. 5.1. 修复 RR 下无线网络 IP 显示和刷新问题. 5.2. 修复 RR 下设置 SSID&PSK 后 DSM 下不驱动的问题. 5.3. 同步 RR 下的 SSID&PSK 到 DSM 下. 5.4. 修复 junior 模式下无线网络的支持, 已支持 无线网卡的 DSM 系统安装. (暂时不支持 intel 无线网卡) 5.5. wpa_supplicant.conf 文件位于引导盘第一个分区根目录, 纯无线环境可手动放置该文件后其启动引导.
培训课件 -我是如何教创新创业及职涯设计课.pptx
流量专网售前5G解决方案模板.docx
Simulink仿真模型下的混合储能控制器设计：实现功率分配、SOC均衡与高精度电流控制及母线电压补偿策略,Simulink仿真模型下的混合储能控制器设计：实现功率分配、SOC均衡与高精度电流控制及母线电压补偿,储能控制器，simulink仿真模型。 采用下垂控制实现蓄电池超级电容构成的混合储能功率分配、SOC均衡控制、考虑线路阻抗情况下提高电流分配精度控制、母线电压补控制。 ,核心关键词： 1. 储能控制器 2. 下垂控制 3. 混合储能功率分配 4. SOC均衡控制 5. 线路阻抗 6. 电流分配精度控制 7. 母线电压补控制 用分号分隔的关键词结果为： 储能控制器;下垂控制;混合储能功率分配;SOC均衡控制;线路阻抗;电流分配精度控制;母线电压补控制,基于Simulink仿真的混合储能系统：下垂控制与SOC均衡策略研究
19考试真题最近的t38.txt
基于V2G技术的电动汽车实时调度策略：降低充电与网损成本，IEEE配电网验证,基于V2G技术的电动汽车实时调度策略：降低充电成本与网损的调度模型及算法实现,MATLAB代码：基于V2G技术的电动汽车实时调度策略 关键词：电动汽车 实时调度 V2G 网损 仿真平台：MATLAB YALMIP+CVX 主要内容：代码主要做的是基于V2G技术的电动汽车实时调度策略，请注意是实时调度策略而非日前调度策略，首先以降低充电成本和网损成本为目标，建立电动汽车调度模型。 然后通过构建网损灵敏度指标分析电网节点性能，基于电网负荷制定分时电价，通过潮流计算和凸优化算法实时求解得到电动汽车充放电策略。 最后以 IEEE 33 节点配电网为例验证了所提策略可以有效降低充电成本与网损成本。 基本实现文档中的算法，复现效果良好可靠 ,V2G技术; 实时调度策略; 网损; 充电成本; 优化算法; 潮流计算; 凸优化算法; IEEE 33节点配电网。,基于V2G技术的实时电动汽车调度策略：降低充电成本与网损的MATLAB仿真研究
三菱PLC焊接机智能控制参考方案：含触摸屏程序、PLC程序、伺服定位与通信控制等全套解决方案，专为精准内外径圆环物料处理设计。,三菱PLC焊接机智能控制参考方案：集成触摸屏程序、PLC编程、伺服控制与通讯技术，实现精准焊接与数据闭环管理。,三菱PLC焊接机控制参考程序。 包含触摸屏程序，PLC程序，IO表，伺服参数，通讯协议参数。 该设备由24个伺服电机、1套焊接机、2套CCD、4套扫码枪、6套位移传感器组成，plc程序有注释里面fb块也没加密，电气控制采用三菱Q系列Q06UDV型CPU，内置以太网通过TCP IP形式与上位机CCD及扫码枪通讯，两套QD77MS16定位模块控制伺服，外加QJ71C24N用于与位移传感器通过ModBus RTU协议进行串口通讯获取数据，另外运用三菱MX Conpnonet软件与上位机通讯完成与客户MES系统闭环控制，OEE数据采集并上传至客户工厂云服务器系统。 该设备组装物料小件尺寸小，为内外径相差0.79mm（圆环宽度）的小圆环，料盘为8X10的矩阵料盘，吸取较难，因此PLC自写了一套算法，采用三点设定自动运算出80个点的XY坐标，吸取成功率达99%以
一个使用node、MySql、react、reactNative、antDesign完成的一套大型订票系统，其中服务端、数据库，网页订票端、手机订票端和网页管理台.zip项目工程资源经过严格测试运行并且功能上ok，可实现复现复刻，拿到资料包后可实现复现出一样的项目，本人系统开发经验充足（全栈全领域），有任何使用问题欢迎随时与我联系，我会抽时间努力为您解惑，提供帮助 【资源内容】：包含源码+工程文件+说明等。答辩评审平均分达到96分，放心下载使用！可实现复现；设计报告也可借鉴此项目；该资源内项目代码都经过测试运行，功能ok 【项目价值】：可用在相关项目设计中，皆可应用在项目、毕业设计、课程设计、期末/期中/大作业、工程实训、大创等学科竞赛比赛、初期项目立项、学习/练手等方面，可借鉴此优质项目实现复刻，设计报告也可借鉴此项目，也可基于此项目来扩展开发出更多功能 【提供帮助】：有任何使用上的问题欢迎随时与我联系，抽时间努力解答解惑，提供帮助 【附带帮助】：若还需要相关开发工具、学习资料等，我会提供帮助，提供资料，鼓励学习进步 下载后请首先打开说明文件（如有）;整理时不同项目所包含资源内容不同;项目工程可实现复现复刻，如果基础还行，也可在此程序基础上进行修改，以实现其它功能。供开源学习/技术交流/学习参考，勿用于商业用途。质量优质，放心下载使用，资源为网络商品（电子资料类）基于网络商品和电子资料商品的性质和特征不支持退款
RexVision 1.6.1机器视觉框架源码发布：基于C#与Halcon混合编程，适用于视觉检测与机械手定位等应用，插件式开发省时高效,RexVision 1.6.1机器视觉框架源码发布：基于C#与Halcon混合编程，支持多种视觉应用与手眼标定，VS2019可直接编译使用,RexVision 1.6.1，C#+Halcon机器视觉框架源码， 到手vs2019可以直接编译、 视觉检测、AOI视觉检测、机械手定位、点胶机、插件机、激光切割机、视觉螺丝机、视觉贴合机、激光焊接机、视觉裁板机……， C#联合Halcon混合编程源码，插件式开发 ，带手眼标定，相机静止和运动，支持C#脚本…能让你站在巨人的肩膀上，节省重复造轮子的时间。 ,关键词：RexVision 1.6.1; Halcon机器视觉框架; C#联合Halcon混合编程; 视觉检测; AOI视觉检测; 机械手定位; 点胶机; 插件机; 激光切割机; 视觉螺丝机; 视觉贴合机; 激光焊接机; 视觉裁板机; 手眼标定; 相机静止和运动支持; C#脚本。,基于Halcon的C#机器视觉源码，插件式开发助力自动化设备升级
ATL .NET 是一个完全原生的、易于使用的 C# 库，用于 .NET 和 Mono，可以从各种数字音频格式、播放列表和 CUE 表中读取数据。.zip
项目工程资源经过严格测试运行并且功能上ok，可实现复现复刻，拿到资料包后可实现复现出一样的项目，本人系统开发经验充足（全栈全领域），有任何使用问题欢迎随时与我联系，我会抽时间努力为您解惑，提供帮助 【资源内容】：包含源码+工程文件+说明等。答辩评审平均分达到96分，放心下载使用！可实现复现；设计报告也可借鉴此项目；该资源内项目代码都经过测试运行，功能ok 【项目价值】：可用在相关项目设计中，皆可应用在项目、毕业设计、课程设计、期末/期中/大作业、工程实训、大创等学科竞赛比赛、初期项目立项、学习/练手等方面，可借鉴此优质项目实现复刻，设计报告也可借鉴此项目，也可基于此项目来扩展开发出更多功能 【提供帮助】：有任何使用上的问题欢迎随时与我联系，抽时间努力解答解惑，提供帮助 【附带帮助】：若还需要相关开发工具、学习资料等，我会提供帮助，提供资料，鼓励学习进步 下载后请首先打开说明文件（如有）;整理时不同项目所包含资源内容不同;项目工程可实现复现复刻，如果基础还行，也可在此程序基础上进行修改，以实现其它功能。供开源学习/技术交流/学习参考，勿用于商业用途。质量优质，放心下载使用，资源为网络商品（电子资料类）基于网络商品和电子资料商品的性质和特征不支持退款，质量优质，放心下载使用
MATLAB代码：电转气P2G与碳捕集设备在热电联供综合能源系统中的优化调度模型研究：融入碳交易机制的非线性模型高效求解。,MATLAB环境下结合P2G技术与碳捕集设备的综合能源系统优化调度模型，包括热电联产与低碳调度，借鉴碳交易机制实现高效求解。,MATLAB代码：考虑P2G和碳捕集设备的热电联供综合能源系统优化调度模型 注意：店铺内有大量考虑碳交易代码，欢迎咨询 关键词：碳捕集 综合能源系统 电转气P2G 热电联产 低碳调度 参考文档：《Modeling and Optimization of Combined Heat and Power with Power-to-Gas and Carbon Capture System in Integrated Energy System》完美复现 仿真平台：MATLAB yalmip+gurobi 主要内容：代码主要做的是一个考虑电转气P2G和碳捕集设备的热电联供综合能源系统优化调度模型，模型耦合CHP热电联产单元、电转气单元以及碳捕集单元，并重点考虑了碳交易机制，建立了综合能源系统运行优化模型，模型为非线性模型，采用yalmip
风光储直流微电网Simulink仿真模型研究：扰动观察法与叶尖速比实现MPPT控制参考论文分享,储能控制器在风光储直流微电网Simulink仿真模型中的实现与应用：光伏发电、风力发电与储能系统集成研究,储能控制器，风光储、风光储并网直流微电网simulink仿真模型。 系统有光伏发电系统、风力发电系统、储能系统、负载、逆变器?lcl?大电网构成。 附参考文献。 同时可附逆变器控制参数，lcl参数计算m文件（另议）。 光伏系统采用扰动观察法实现mppt控制，经过boost电路并入母线； 风机采用最佳叶尖速比实现mppt控制，风力发电系统中pmsg采用零d轴控制实现功率输出，通过三相电压型pwm变器整流并入母线； 储能系统由蓄电池构成，通过双向DCDC变器并入母线。 并网逆变器VSR采用基于电网电压定向矢量控制?双闭环，经过lcl滤波器并入大电网。 负载单元为直流负载 附参考文献。 ,核心关键词：储能控制器；风光储；并网直流微电网；simulink仿真模型；光伏发电系统；风力发电系统；储能系统；负载；逆变器；MPPT控