## **跨站點請求偽造(CSRF)** 跨站請求偽造(Cross-site request forgery,簡稱 CSRF)， 是一種挾制用戶在當前已登錄的 Web 應用程序上執行非本意的操作的攻擊方法 #### [](https://gitee.com/shanghai-leisurely-network_0/PHP-Interview-QA/blob/master/docs/08.%E5%AE%89%E5%85%A8/QA.md#csrf-%E7%A4%BA%E4%BE%8B)CSRF 示例 * 在私有域構造頁面P > [https://blog.maplemark.cn/csrf.html](https://blog.maplemark.cn/csrf.html) 其內容為 ~~~ <!--僅用于演示，假設該點贊為 GET--> <img src="https://segmentfault.com/api/article/1190000019050946/like?_=0faa0315ff95872d8b0f8da02e343ac7"> ~~~ * 誘使目標用戶訪問頁面P 如果你已經訪問過 SF 網站，并且已經登錄。可以看到在訪問頁面P之后，已經對 SF 文章進行點贊了 #### CSRF 防御 * 增加驗證碼(簡單有效) * 檢查請求來源是否合法 * 增加隨機 token