跨站请求伪造（Cross-Site Request Forgery，CSRF）是一种常见的网络攻击，攻击者通过诱使用户在受信任的网站上执行恶意操作，从而以用户身份发送请求到其他网站。CSRF攻击利用了用户在网站之间共享身份验证凭据的特性，通过伪造请求来执行未经授权的操作，如修改用户信息、执行资金转账等。
防止CSRF攻击的目标是确保请求来自合法的源站点，并阻止未经授权的请求。以下是一些常见的防止CSRF攻击的方法：
- 随机令牌（CSRF Token）：为每个用户会话生成一个唯一的令牌，并将其嵌入到每个表单或敏感操作的请求中。服务器接收到请求后，验证令牌的有效性。这样可以确保请求来自合法的源站点，因为攻击者无法获取或伪造合法的令牌。
- Referer 检查：服务器在接收到请求时，检查请求头中的 Referer 字段，验证请求的来源站点。然而，这种方法有一些限制，因为某些浏览器或代理可能不会发送或正确设置 Referer 字段。
- SameSite Cookie：通过将 Cookie 的 SameSite 属性设置为 "Strict" 或 "Lax"，限制浏览器只在同一站点的请求中发送 Cookie。这样可以防止跨站点请求时携带用户的身份验证凭据。
- 额外验证步骤：对于敏感操作，可以要求用户进行额外的身份验证步骤，如输入密码、二次确认等。这样即使攻击者伪造了请求，也无法完成敏感操作。
- 使用 CSRF 工具和框架：许多Web开发框架和安全工具提供了内置的CSRF防护机制，可以方便地集成到应用程序中，减少手动实现的错误和漏洞。
需要注意的是，以上方法应综合使用，没有一种方法可以完全解决CSRF攻击。最佳实践是结合使用多个防护措施，根据应用程序的需求和安全要求选择适当的防护策略。