我们要明确什么是CSRF(Cross-Site Request Forgery)，CSRF是一种网络攻击方式，攻击者通过伪造用户的请求来执行非用户本意的操作，这种攻击通常发生在web应用中，尤其是那些没有充分实施防护措施的应用。
在实际开发过程中，我们常常需要在服务端进行CSRF防护，以保护用户数据和系统安全，以下是一些常用的防护策略和实践：
Token验证：这是最基础的CSRF防护方式，服务器生成一个唯一的token,并将其存储在session中，当用户提交表单时，将这个token一并发送到服务器，服务器接收到请求后，会检查token是否有效，如果无效，说明请求可能来自恶意源，应拒绝处理。
SameSite Cookie属性：这是Google Chrome提出的一个新的解决方案，可以防止跨站请求伪造攻击，SameSite属性决定了cookies是如何处理跨站请求的，Set-Cookie: SameSite=Strict 表示只有同站点的请求才会携带cookies，这样一来，即使攻击者能够伪造请求，也无法获取到用户的cookies。
图片或文件的预加载：为了防止攻击者通过预加载的方式执行恶意操作，我们可以对图片或文件的请求添加验证码或其他防护机制，只有在用户完成验证后，才允许下载文件或显示图片。
二次确认：对于一些重要的操作，我们还可以要求用户进行二次确认，在删除一条评论或者修改密码之前，都需要用户再次输入密码进行确认。
使用HTTPOnly Cookie:将Cookie设置为HttpOnly可以防止JavaScript访问Cookie,从而降低跨站脚本攻击(XSS)的风险。
就是一些常见的CSRF防护策略和实践，值得注意的是，这些方法并不能完全阻止CSRF攻击，只能提高攻击的难度和成本，我们需要不断地学习和研究新的防护技术，以应对不断变化的安全威胁。
