跨站请求伪造（CSRF，Cross-Site Request Forgery）是一种常见的Web应用安全漏洞，攻击者通过诱骗用户在其已登录的Web应用中执行未经授权的操作，从而达到攻击目的。CSRF不仅威胁用户的账户安全，还可能对系统造成重大损害。因此，采取有效的防护措施对于确保Web应用的安全性至关重要。
CSRF攻击的基本原理是利用用户在目标网站上已登录的状态，通过用户自己的浏览器向该网站发送未经授权的请求。攻击者通常会在用户不知情的情况下，通过伪装成可信网站的恶意链接或表单提交来执行这一操作。
令牌验证是最有效的CSRF防护方法之一。在每次表单提交或敏感操作时，服务器生成一个唯一的、难以猜测的令牌（Token），并将其嵌入到表单中或通过HTTP头发送给客户端。客户端在提交请求时，必须包含这个令牌。服务器验证令牌的有效性，以确保请求是合法的。
// 服务器端生成令牌并嵌入表单
String csrfToken = UUID.randomUUID().toString();
request.getSession().setAttribute("csrfToken", csrfToken);
response.getWriter().write("");
// 服务器端验证令牌
String sessionToken = (String) request.getSession().getAttribute("csrfToken");
String requestToken = request.getParameter("csrfToken");
if (!sessionToken.equals(requestToken)) {
throw new SecurityException("CSRF token validation failed!");
}
双重提交Cookie方法要求客户端在提交表单时，除了携带服务器端生成的令牌外，还需要额外提交一个与令牌值相同的Cookie。服务器在接收到请求后，分别验证令牌和Cookie的值是否一致，从而增强防护效果。
// 服务器端生成令牌并设置Cookie
String csrfToken = UUID.randomUUID().toString();
response.addCookie(new Cookie("csrfToken", csrfToken));
request.getSession().setAttribute("csrfToken", csrfToken);
// 客户端表单中包含令牌
// 服务器端验证令牌和Cookie
String sessionToken = (String) request.getSession().getAttribute("csrfToken");
String cookieToken = null;
Cookie[] cookies = request.getCookies();
if (cookies != null) {
for (Cookie cookie : cookies) {
if ("csrfToken".equals(cookie.getName())) {
cookieToken = cookie.getValue();
break;
}
}
}
if (!sessionToken.equals(request.getParameter("csrfToken")) || !sessionToken.equals(cookieToken)) {
throw new SecurityException("CSRF token validation failed!");
}
Referer头是一个HTTP头字段，用于指示请求的来源页面。虽然Referer头可以被伪造，但在大多数情况下，它可以作为一种额外的防护手段。服务器可以检查Referer头是否来自可信的源，如果不是，则拒绝请求。
CSRF攻击通常利用GET、POST等HTTP方法。因此，避免在GET请求中执行敏感操作，尽量使用POST、PUT、DELETE等具有副作用的HTTP方法，可以减少CSRF攻击的风险。
跨站请求伪造（CSRF）是Web应用安全中不可忽视的问题。通过采用令牌验证、双重提交Cookie、验证Referer头和使用安全的HTTP方法等关键策略，可以有效降低CSRF攻击的风险。作为Web开发者，应始终关注安全最佳实践，确保Web应用的安全性。