CSRF(Cross-Site Request Forgery)攻击是一种常见的网络攻击方式，攻击者通过伪造用户身份，利用用户的身份在受信任的网站上执行恶意操作。为了防止CSRF攻击，可以使用一些防护策略，使用Token、验证请求来源、限制请求频率等。
本文目录导读：
CSRF(Cross-Site Request Forgery,跨站请求伪造)是一种常见的网络攻击手段，攻击者通过伪造用户的请求，让用户在不知情的情况下执行非预期的操作，为了防止CSRF攻击，开发者需要采取一系列的安全措施，本文将介绍一些常用的CSRF防护策略，并通过实例进行实践。
CSRF防护原理
1、验证码机制
验证码是一种简单有效的CSRF防护手段，当用户提交表单时，服务器会检查用户输入的验证码是否正确，如果验证码错误，说明请求可能是伪造的，服务器将拒绝该请求，这种方法可以有效防止大多数CSRF攻击，但对于使用自动化工具的攻击者来说，验证码仍然无法完全阻止攻击。
2、Token机制
Token机制是另一种常用的CSRF防护手段，在这种机制下，服务器为每个用户生成一个唯一的token,并将其存储在session中，当用户提交表单时，需要将token一同提交给服务器，服务器会检查请求中的token是否与session中的token匹配，如果不匹配，说明请求可能是伪造的，服务器将拒绝该请求，这种方法可以有效防止大部分CSRF攻击，但仍然存在一定的安全隐患。
3、Referer检查
Referer检查是一种简单的CSRF防护策略，当用户提交表单时，服务器会检查请求的referer是否与当前页面的referer一致，如果不一致，说明请求可能是伪造的，服务器将拒绝该请求，这种方法可以有效防止部分CSRF攻击，但对于使用代理或者VPN的攻击者来说，referer检查仍然无法完全阻止攻击。
实践案例
下面我们通过一个简单的实例来演示如何实现CSRF防护策略，假设我们有一个博客系统，用户可以在系统中发布文章，为了防止CSRF攻击，我们需要在用户提交文章时进行安全检查。
1、验证码机制
在前端页面中添加一个图形验证码，要求用户输入正确的验证码才能提交表单，后端收到请求后，先检查验证码是否正确，然后再处理其他业务逻辑。
<form action="/submit_article" method="post"> <label for="title">文章标题：</label> <input type="text" id="title" name="title" required><br> <label for="content">文章内容：</label> <textarea id="content" name="content" required></textarea><br> <img src="captcha.php" alt="captcha" onclick="this.src='captcha.php?'+Math.random()"><br> <label for="captcha">请输入验证码：</label> <input type="text" id="captcha" name="captcha" required><br> <input type="submit" value="提交"> </form>
2、Token机制
在用户登录成功后，生成一个token并将其存储在session中，在用户提交表单时，将token一同提交给服务器，后端收到请求后，首先检查请求中的token是否与session中的token匹配，然后再处理其他业务逻辑。
from flask import session
from itsdangerous import TimedJSONWebSignatureSerializer as Serializer
@app.route('/login', methods=['POST'])
def login():
# ...验证用户名和密码的逻辑...
token = Serializer(app.config['SECRET_KEY'], expires_in=3600).dumps({'user_id': user_id})
session['token'] = token
return jsonify({'message': '登录成功'})3、Referer检查
在用户提交表单时，检查请求的referer是否与当前页面的referer一致，如果不一致，说明请求可能是伪造的，拒绝该请求。
from flask import request, redirect, url_for
import re
@app.route('/submit_article', methods=['POST'])
def submit_article():
if not re.match(r'^https?://www\.example\.com/article/\d+$', request.referrer):
return '非法请求', 403
# ...处理文章发布的逻辑...
