跨站偽造是什麼意思

跨站偽造（Cross-Site Request Forgery, CSRF 或 XSRF）是一種常見的網絡安全攻擊方式，它利用了網頁瀏覽器的信任特性來欺騙用戶的瀏覽器執行非本意的操作。這種攻擊通常涉及一個惡意的第三方網站，它會誘使用戶的瀏覽器向用戶之前訪問過的目標網站發出請求。

CSRF 攻擊的原理是，當用戶訪問過某個網站並登錄成功後，該網站會在用戶的瀏覽器中存留一個會話cookie。此後，當用戶訪問其他網站時，如果這些網站沒有採取足夠的防範措施，攻擊者就可以通過一些手段誘使用戶的瀏覽器向目標網站發出請求，並攜帶該會話cookie。由於瀏覽器會自動發送這個會話cookie，目標網站會認為這個請求是來自合法用戶的請求，從而執行相應的操作。

例如，攻擊者可以創建一個惡意的鏈接，當用戶點擊這個鏈接時，瀏覽器會自動向目標網站發出一個請求，這個請求可能是轉移資金、更改密碼、發布內容等操作。如果用戶的瀏覽器存有目標網站的會話cookie，那麼這個請求就會被目標網站視為合法操作，從而執行。

為了防止CSRF攻擊，網站開發者可以採取一些措施，例如在表單中添加一個隨機生成的token，只有用戶會知道這個token，並且在提交表單時驗證這個token。這樣即使攻擊者知道了用戶的會話cookie，如果沒有這個token，他們也不能發起有效的CSRF攻擊。