网络技术问题 | JavaScript 课程测验 2 | 问题 6

本题考察如何避免跨站请求伪造攻击（CSRF），这是一种常见的网络安全问题。

什么是 CSRF 攻击？

CSRF（Cross-Site Request Forgery）攻击是一种网络攻击方式，利用用户已经登录的情况下，伪造用户的请求。攻击者可以通过构造特定的页面，引导用户访问该页面，从而发起伪造的请求，触发用户的操作。

举个例子，当你登录某个论坛网站并保持登录状态时，在同一个浏览器中访问一个恶意页面，该页面会发起一个请求去进行数据操作（比如修改密码、发送信息等），由于你已经登录了该论坛网站，因此该请求就会以你的身份进行操作。

如何防范 CSRF 攻击？

常用的防范 CSRF 攻击的方式有以下几种：

1. 验证来源站点

在服务端验证请求来源站点是最基本的防范措施。在处理请求时，后端可以检查请求头中的 Referer 字段来判断请求来源。如果请求不是来自同一站点，就可以拒绝该请求。

这种方式比较简单，但是其可靠性并不高。因为攻击者可以通过修改请求头中的 Referer 字段来绕过该验证。

2. 为请求添加验证码

为请求添加验证码是一种比较保险的防范方式，将用户输入的验证码与服务端生成的验证码进行比较，只有当两者一致时才会处理请求。

这种方式可以避免 CSRF 攻击，但是需要用户输入验证码，可能会降低用户体验。

3. 添加 Token

为请求添加 Token 是较为常见的防范方式，其原理是在每个表单中添加一个随机值，在请求服务器的时候把这个值发送到服务端。当接收到请求时，服务端会检测表单中的随机值是否一致，如果不一致则认为该请求为 CSRF，拒绝请求。

这种方式不需要用户输入验证码，同时也不会泄露用户隐私信息。但是需要考虑如何生成和传递 Token，防止 Token 被攻击者获取到。

4. 检测请求头中的 Origin 字段

在处理请求时，服务端可以检查请求头中的 Origin 字段，如果请求不是来自同一站点，就可以拒绝该请求。

这种方式比较可靠，但是并不是所有的浏览器都支持设置 Origin 字段，会影响跨域请求的处理。

总结

CSRF 是一种常见的网络安全问题。为了防范 CSRF 攻击，需在服务端对请求进行验证，常用的防范措施包括：验证来源站点、添加验证码、添加 Token 和检测请求头中的 Origin 字段。选择哪种方式需要根据具体的需求进行考虑。