跨站请求伪造 (CSRF)，也称为 XSRF、Sea Surf 或 Session Riding，是一种利用 Web 应用程序对用户浏览器的信任的网络攻击。当恶意网站或电子邮件诱骗用户的浏览器在用户经过身份验证的其他网站上执行不必要的操作时，就会发生这种情况。这可能导致各种不良后果，例如未经授权的资金转移、密码更改和数据盗窃，包括会话 cookie 被盗。
在 CSRF 攻击中，攻击者会精心设计一个对目标 Web 应用程序来说看似合法的请求。然后，该请求会从受害者的浏览器发送，该浏览器已通过目标网站的身份验证。由于应用程序无法区分用户的合法请求和攻击者的伪造请求，因此它会将恶意请求视为有效请求进行处理。攻击依赖于用户的浏览器自动在请求中包含 Cookie 或身份验证令牌等凭据。
CSRF 攻击通常通过社会工程学技术进行，例如发送钓鱼邮件或在看似合法的网站中嵌入恶意链接。当用户点击链接或与恶意内容交互时，伪造的请求会在用户不知情或未经同意的情况下发送到目标应用程序。
为了降低 CSRF 攻击的风险，Web 开发人员可以实施各种安全措施。一种常见的方法是使用反 CSRF 令牌，这些令牌是随机生成的唯一值，包含在表单中，并由服务器在每次请求时进行验证。这可确保请求来自应用程序自己的界面，而不是来自第三方网站。此外，在 Cookie 上设置“SameSite”属性可以将其使用限制在第一方上下文中，从而降低 CSRF 攻击的风险。
总的来说，了解和防御 CSRF 攻击对于维护 Web 应用程序的安全性和完整性以及保护用户的敏感信息至关重要。