什么是前端开发中的跨站请求伪造（CSRF）攻击？如何防止它？

聚沙成塔·每天进步一点点

? 专栏简介

前端入门之旅：探索Web开发的奇妙世界 欢迎来到前端入门之旅！感兴趣的可以订阅本专栏哦！这个专栏是为那些对Web开发感兴趣、刚刚踏入前端领域的朋友们量身打造的。无论你是完全的新手还是有一些基础的开发者，这里都将为你提供一个系统而又亲切的学习平台。在这个专栏中，我们将以问答形式每天更新，为大家呈现精选的前端知识点和常见问题解答。通过问答形式，我们希望能够更直接地回应读者们对于前端技术方面的疑问，并且帮助大家逐步建立起一个扎实的基础。无论是HTML、CSS、JavaScript还是各种常用框架和工具，我们将深入浅出地解释概念，并提供实际案例和练习来巩固所学内容。同时，我们也会分享一些实用技巧和最佳实践，帮助你更好地理解并运用前端开发中的各种技术。

无论你是寻找职业转型、提升技能还是满足个人兴趣，我们都将全力以赴，为你提供最优质的学习资源和支持。让我们一起探索Web开发的奇妙世界吧！加入前端入门之旅，成为一名出色的前端开发者！ 让我们启航前端之旅！！！

今日份内容：什么是前端开发中的跨站请求伪造（CSRF）攻击？如何防止它？

---

跨站请求伪造（CSRF）攻击概述及防护方法

什么是跨站请求伪造（CSRF）攻击？

跨站请求伪造（CSRF）是一种网络攻击，攻击者通过利用用户在其他网站上的已登录状态，在用户不知情的情况下伪造用户身份，执行未经用户授权的操作。攻击者通常通过在目标网站上注入恶意请求，利用用户在其他网站上的登录状态执行一些危险的操作。

如何防止跨站请求伪造（CSRF）攻击？

1. 使用 Anti-CSRF Token：

   • 在表单或请求中包含 Anti-CSRF Token，并验证该 Token 的合法性。 这样可以确保请求是由合法的用户发起的。

   <!-- 在表单中添加 Anti-CSRF Token -->
   <form action="/submit" method="post">
     <input type="hidden" name="csrfToken" value="...">
     <!-- 其他表单字段 -->
     <button type="submit">提交</button>
   </form>
   

   // 服务器端验证 Anti-CSRF Token
   if (request.body.csrfToken !== user.csrfToken) {
     // Token 不合法，拒绝请求
     return res.status(403).send("Invalid CSRF Token");
   }
   

2. 同源策略：

   • 使用浏览器的同源策略，确保只有同一来源的页面可以发起请求。 这可以有效减少被攻击的可能性。

3. 使用 SameSite Cookie 属性：

   • 通过设置 Cookie 的 SameSite 属性，限制第三方网站对 Cookie 的访问。

   // 设置 SameSite 属性为 Strict
   Set-Cookie: sessionid=123; SameSite=Strict
   

   • Strict：仅允许同站点请求携带 Cookie。
   • Lax：在导航到目标站点的顶级导航时，请求才携带 Cookie。
   • None：总是携带 Cookie，不受同源策略的限制。

4. 使用额外的认证措施：

   • 要求用户进行额外的身份验证，如输入密码、短信验证码等。 这可以降低攻击者的成功率。

5. 检测和限制不安全的 HTTP 方法：

   • 对不安全的 HTTP 方法（如 DELETE、PUT）进行检测和限制。 确保这些方法只能在授权的情况下执行。

6. 使用 Content-Type 检测：

   • 在服务器端对请求的 Content-Type 进行检测，确保请求的 Content-Type 符合预期。 避免接受非预期格式的请求。

   // 例子：检测 Content-Type 为 application/json
   if (request.get("Content-Type") !== "application/json") {
     // 非预期的 Content-Type，拒绝请求
     return res.status(415).send("Unsupported Media Type");
   }
   

7. 限制会话的时效性：

   • 限制用户会话的时效性，定期要求用户重新进行身份验证。 这可以减少已登录用户被攻击的可能性。

8. 避免使用默认凭证：

   • 避免使用浏览器默认的凭证（如 Cookie），而是使用其他身份验证方式。 这样即使存在 CSRF 攻击，攻击者无法直接获取用户的默认凭证。

以上措施综合使用可以有效地防止跨站请求伪造攻击。在实际应用中，应根据具体的需求和场景选择合适的防护方法。

---

? 写在最后

本专栏适用读者比较广泛，适用于前端初学者；或者没有学过前端对前端有兴趣的伙伴，亦或者是后端同学想在面试过程中能够更好的展示自己拓展一些前端小知识点，所以如果你具备了前端的基础跟着本专栏学习，也是可以很大程度帮助你查漏补缺，由于博主本人是自己再做内容输出，如果文中出现有瑕疵的地方各位可以通过主页的左侧联系我，我们一起进步，与此同时也推荐大家几份专栏，有兴趣的伙伴可以订阅一下：除了下方的专栏外大家也可以到我的主页能看到其他的专栏；

前端小游戏（免费）这份专栏将带你进入一个充满创意和乐趣的世界，通过利用HTML、CSS和JavaScript的基础知识，我们将一起搭建各种有趣的页面小游戏。无论你是初学者还是有一些前端开发经验，这个专栏都适合你。我们会从最基础的知识开始，循序渐进地引导你掌握构建页面游戏所需的技能。通过实际案例和练习，你将学会如何运用HTML来构建页面结构，使用CSS来美化游戏界面，并利用JavaScript为游戏添加交互和动态效果。在这个专栏中，我们将涵盖各种类型的小游戏，包括迷宫游戏、打砖块、贪吃蛇、扫雷、计算器、飞机大战、井字游戏、拼图、迷宫等等。每个项目都会以简洁明了的步骤指导你完成搭建过程，并提供详细解释和代码示例。同时，我们也会分享一些优化技巧和最佳实践，帮助你提升页面性能和用户体验。无论你是想寻找一个有趣的项目来锻炼自己的前端技能，还是对页面游戏开发感兴趣，前端小游戏专栏都会成为你的最佳选择。点击订阅前端小游戏专栏

Vue3通透教程【从零到一】（付费） 欢迎来到Vue3通透教程！这个专栏旨在为大家提供全面的Vue3相关技术知识。如果你有一些Vue2经验,这个专栏都能帮助你掌握Vue3的核心概念和使用方法。我们将从零开始,循序渐进地引导你构建一个完整的Vue应用程序。通过实际案例和练习,你将学会如何使用Vue3的模板语法、组件化开发、状态管理、路由等功能。我们还会介绍一些高级特性,如Composition API和Teleport等,帮助你更好地理解和应用Vue3的新特性。在这个专栏中,我们将以简洁明了的步骤指导你完成每个项目,并提供详细解释和示例代码。同时,我们也会分享一些Vue3开发中常见的问题和解决方案,帮助你克服困难并提升开发效率。无论你是想深入学习Vue3或者需要一个全面的指南来构建前端项目,Vue3通透教程专栏都会成为你不可或缺的资源。点击订阅Vue3通透教程【从零到一】专栏

TypeScript入门指南（免费） 是一个旨在帮助大家快速入门并掌握TypeScript相关技术的专栏。通过简洁明了的语言和丰富的示例代码，我们将深入讲解TypeScript的基本概念、语法和特性。无论您是初学者还是有一定经验的开发者，都能在这里找到适合自己的学习路径。从类型注解、接口、类等核心特性到模块化开发、工具配置以及与常见前端框架的集成，我们将全面覆盖各个方面。通过阅读本专栏，您将能够提升JavaScript代码的可靠性和可维护性，并为自己的项目提供更好的代码质量和开发效率。让我们一起踏上这个精彩而富有挑战性的TypeScript之旅吧！点击订阅TypeScript入门指南专栏