CSRF(跨站请求伪造)是一种常见的攻击方式，它利用用户的登录状态，向其他网站发送请求，执行敏感操作，如转账。为了防止CSRF攻击，可以采取以下措施： ，，- 使用CSRF Token，- Referer验证，- SameSite Cookie属性，- 验证码
本文目录导读：
我们将深入探讨跨站请求伪造(CSRF)防护的策略与实践，我们将介绍CSRF的基本概念和原理，然后详细讨论各种常见的CSRF防护方法，最后通过实例分析来说明如何在实际项目中应用这些策略。
CSRF基本概念与原理
1、1 CSRF简介
跨站请求伪造(CSRF)是一种网络攻击手段，攻击者通过伪造用户的请求，使得用户在不知情的情况下执行非预期的操作，这种攻击通常利用用户已经登录的身份，以用户的名义发送请求，从而达到窃取信息、篡改数据等目的。
1、2 CSRF原理
CSRF攻击的原理主要包括以下几个步骤：
(1) 用户登录并获取一个有效的会话标识(如cookie)。
(2) 攻击者伪造一个用户的请求，这个请求包含了用户的会话标识。
(3) 服务端接收到请求后，会检查请求中的会话标识是否有效，如果有效，则认为这是一个合法的请求，执行相应的操作；如果无效，则拒绝该请求。
(4) 攻击者在自己的浏览器中发起一个带有恶意内容的请求，这个请求会被携带着会话标识一起发送给目标网站。
(5) 目标网站在处理恶意请求时，会认为这是一个合法的请求，从而执行相应的操作，这样，攻击者就可以在不知情的情况下对目标网站进行操作。
常见的CSRF防护方法
2、1 CSRF令牌
CSRF令牌是一种简单的防护方法，它通过在表单中添加一个隐藏字段来存储令牌，当用户提交表单时，服务器会验证令牌是否与当前会话匹配，如果匹配，则认为这是一个合法的请求；否则，拒绝该请求。
2、2 图片验证码
图片验证码可以有效地防止自动化工具生成的恶意请求，当用户提交表单时，需要先输入验证码，只有正确输入验证码的用户，才能继续提交表单，这样，即使攻击者能够截获用户的会话标识，也无法绕过验证码的验证。
2、3 HttpOnly Cookie
HttpOnly Cookie是一种安全的Cookie,它只能通过HTTP协议传输，无法被JavaScript访问，这意味着即使攻击者能够截获用户的会话标识，也无法通过JavaScript来伪造请求，使用HttpOnly Cookie可以有效地防止CSRF攻击。
2、4 SameSite Cookie属性
SameSite Cookie属性用于控制第三方网站如何处理用户的Cookie，当设置为Strict或Lax时，表示只有在同站点下才能访问Cookie;当设置为None时，表示任何站点都可以访问Cookie，这样，即使攻击者能够截获用户的会话标识，也无法通过伪造Cookie来实现CSRF攻击。
实例分析与实践
3、1 CSRF令牌示例
假设我们有一个登录表单，其中包含一个名为"_csrf"的隐藏字段用于存储CSRF令牌，当用户提交表单时，我们需要检查令牌是否有效，以下是一个简单的示例：
from flask import request, render_template_string
from flask_wtf import CSRFProtect
import hashlib
import os
app = Flask(__name__)
app.config["SECRET_KEY"] = "your_secret_key"
csrf = CSRFProtect(app)
@app.route("/login", methods=["GET", "POST"])
def login():
if request.method == "POST":
csrf.session_protection = True # 启用CSRF保护
_csrf = request.form.get("_csrf") # 获取CSRF令牌
session["csrf_token"] = _csrf # 将令牌存储在会话中
# 对令牌进行哈希处理，以便在数据库中存储和验证时使用
session["csrf_token_hash"] = hashlib.sha256(_csrf.encode()).hexdigest()
# ...后续处理登录逻辑...在这个示例中，我们使用了Flask-WTF库提供的CSRFProtect类来实现CSRF保护，当用户提交表单时，我们会检查令牌是否与会话中的令牌匹配，如果匹配，则认为这是一个合法的请求；否则，拒绝该请求。
