甚么是CSRF反击？
CSRF反击是透过强制性采用者登入到普通采用者掌控的帐户来策画的。为的是达至而此目地，骇客采用她们的凭据向中文网站假造两个状况发生改变允诺，并将配置文件递交到被害者的应用程序。伺服器对应用程序允诺展开身分验证，并将采用者登入到普通采用者的帐户。当被害者向普通采用者的帐户递交已经开始登入的脆弱重要信息时，普通采用者能借助那些重要信息继续执行许多无谓的操作方式，主要包括身分偷盗。
有什么样反击基本原理？
CSRF通常的反击基本原理是，普通采用者向最终目标中文网站转化成两个蓄意的CSRF反击URL门牌号(considerablyurl)，当(登入)采用者出访某某一页面时，假如采用者点选了该URL，所以反击就促发了，他们能在该蓄意的url对应的页面中，借助 来向最终目标中文网站发生两个get允诺，该允诺会携带cookie重要信息，所以也就借用了采用者的身分，也就是假造了两个允诺，该允诺能是最终目标中文网站中的采用者有权限出访的任意允诺。也能采用javascript构造两个递交配置文件的post允诺。比如构造两个转账的post允诺。
所以CSRF的反击分为的是两步，首先要转化成蓄意URL门牌号，然后在该门牌号中写入反击代码，借助 等标签或者采用Javascript脚本。
所以，该如何防御CSRF反击？
1.尽量采用POST，限制GET
GET接口太容易被拿来做CSRF反击，只要构造两个img标签，而img标签又是不能过滤的数据。因此，接口最好限制为POST采用，GET则无效，降低反击风险。
当然POST并不是万无一失，反击者只要构造两个form就能，但需要在第三方页面做，这样就增加暴露的可能性。
2.应用程序Cookie策略
IE6、7、8、Safari会默认拦截第三方本地Cookie（Third-party Cookie）的发送。但是Firefox2、3、Opera、Chrome、Android等不会拦截，所以透过应用程序Cookie策略来防御CSRF反击不靠谱，只能说是降低了风险。
Cookie分为两种：一种是Session Cookie（在应用程序关闭后，就会失效，保存到内存里）；另一种是（即只有到了Exprie时间后才会失效的Cookie，这种Cookie会保存到本地）。
另外假如中文网站返回HTTP头包含P3P Header，所以将允许应用程序发送第三方Cookie。
3.加验证码
验证码，强制性采用者必须与应用展开交互，才能完成最终允诺。在通常情况下，验证码能很好遏制CSRF反击。但是出于采用者体验考虑，中文网站不能给所有的操作都加上验证码。
因此验证码只能作为一种辅助手段，不能作为主要解决方案。
3.Referer Check
Referer Check在Web最常见的应用就是“防止图片盗链”。同理，Referer Check也能被用于检查允诺是否来自合法的“源”（Referer值是否是指定页面，或者中文网站的域），假如都不是，所以就极可能是CSRF反击。
因为伺服器并不是甚么时候都能取到Referer，所以也无法作为CSRF防御的主要手段。但用Referer Check来监控CSRF反击的发生，倒是一种可行的方法。
5、Anti CSRF Token
现在业界对CSRF的防御，一致的做法是采用两个Token（Anti CSRF Token）。
每两个页面包含两个web server产生的token,递交时，也将该token递交到伺服器，伺服器展开判断，假如token不对，就判定位CSRF反击。
这个Token的值必须是随机的，不可预测的。由于Token的存在，普通采用者无法再构造两个带有合法Token的允诺实施CSRF反击。另外采用Token时应注意Token的保密性，尽量把脆弱操作方式由GET改为POST，以form或AJAX形式递交，避免Token泄露。
