CSRF(跨站请求伪造)是一种网络攻击方式，攻击者可以在受害者毫不知情的情况下以受害者名义伪造请求发送给受攻击站点，从而在并未授权的情况下执行在权限保护之下的敏感操作。防御CSRF攻击的方法有很多，包括输入验证、输出编码、启用CSP、使用Anti-CSRF Tokens、配置SameSite Cookie属性和强制HTTPS等策略 。
CSRF(跨站请求伪造)是一种网络攻击方式，攻击者通过伪造用户的请求，使其在不知情的情况下执行非预期的操作，这种攻击方式尤其危险，因为它可以利用用户已经登录的身份进行操作，例如修改密码、转账等，对CSRF的防护是任何Web应用程序的重要组成部分。
我们需要了解CSRF攻击的工作原理，一个网站会为每个请求生成一个唯一的token,并将其存储在用户的session中或者在表单中，当用户再次发起请求时，这个token会被发送回服务器，以验证这次请求是否来自合法的用户，如果攻击者能够伪造这个token,那么他们就可以在不知情的情况下执行任意操作。
为了防止这种攻击，我们可以采取多种策略，其中一种常见的方法是在表单中添加一个隐藏字段，用于存储用户的session ID，这样，每次用户提交表单时，服务器都会检查这个隐藏字段中的session ID是否与服务器上的session ID匹配，如果不匹配，那么就可以认为这次请求是来自非法用户的。
另一种方法是使用CSRF令牌，这种方法与上述方法类似，但是它使用的是随机生成的token,而不是基于session ID的token，每次用户访问需要CSRF保护的页面时，服务器都会为其生成一个新的token,并将其存储在cookie中，这个cookie会在后续的请求中被自动发送回服务器，服务器会检查这个cookie中的token是否与之前生成的token匹配，如果不匹配，那么就可以认为这次请求是来自非法用户的。
尽管这些方法都可以有效地防止CSRF攻击，但它们也存在一些问题和挑战，隐藏字段可能会增加HTML代码的大小，从而影响页面加载速度，由于隐藏字段和cookie都是明文存储的，所以它们也可能成为攻击者的目标，我们需要不断地更新和改进我们的防护策略，以应对不断变化的安全威胁。
CSRF防护是一个复杂而又重要的任务，虽然没有绝对安全的方法可以完全防止CSRF攻击，但通过采用适当的策略和工具，我们可以大大降低这种攻击的风险。
