一、CSRF是什么
CSRF，全称：Corss-site request forgery，中文名称：跨站请求伪造。CSRF攻击比XSS攻击更具危险性，被安全界称为“沉睡的巨人”。
二、CSRF可以做什么
攻击者通过一定手段盗取合法用户在某个网站上的登录信息，然后以该合法用户的身份模拟发送各种请求。
三、CSRF的原理
（图片来自：https://www.cnblogs.com/hyddd/archive/2009/04/09/1432744.html）
要完成一次CSRF攻击，受害者必须依次完成两个步骤：
1. 登录受信任网站A，并在本地生成cookie。
2. 在不退出网站A的情况下，访问危险网站B。
CSRF攻击主要是因为Web的隐式身份验证机制，Web的身份验证机制虽然可以保证一个请求是来自某个用户的浏览器，但却无法保证该请求是用户批准发送的。
四、CSRF的防御
1. 正确使用GET、POST和Cookie请求方法，严格规定什么请求只能使用GET方法，什么请求只能使用POST方法，这样可以防止攻击者使用GET请求来模拟POST请求，从而轻易达到攻击目的。
2. 在非GET请求中，不同的表单包含一个不同的伪随机数，作为token去请求后端。
原文：https://www.cnblogs.com/wujuntian/p/12008425.html