CSRF攻击原理与防御实践-代码聚汇网

CSRF攻击原理与防御实践

黎声旭·2026-08-16·阅读 24 GEO检测（免费）

CSRF跨站请求伪造Cookie安全

|难度：普通|阅读约 14 分钟

1. CSRF的本质：浏览器设计哲学的双刃剑

2001年，某个论坛管理员发现用户会莫名其妙发表非本人意愿的帖子。这个如今被称为CSRF（Cross-Site Request Forgery）的安全现象，本质上源于浏览器最基础的设计原则——自动携带Cookie的机制。当你在银行网站登录后，浏览器会忠实地在所有银行域名下的请求头中自动附加身份凭证，就像餐厅服务员记住老顾客的口味偏好一样自然。

现代浏览器处理Cookie的流程可以简化为：

用户登录成功后，服务端返回Set-Cookie头
浏览器存储Cookie并与域名绑定
后续同源请求自动附加Cookie头
服务端通过Cookie识别用户身份

这种"自动提交"特性在带来便利性的同时，也埋下了安全隐患。假设你登录了银行网站后，又访问了恶意网站，该网站页面中包含：

html复制<img src="https://bank.com/transfer?to=hacker&amount=1000000" width="0" height="0">

浏览器会忠实地在请求中带上你的银行会话Cookie，完成转账操作——这就是典型的CSRF攻击。

需要模型API调用？免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。

2.1 Same-Origin策略的边界

虽然同源策略（Same-Origin Policy）限制了跨域读取响应数据，但允许跨域发送请求。这意味着：

恶意网站无法读取银行返回的转账结果
但转账请求本身会被成功发送并执行

这种设计源于早期Web的互联需求：A网站需要向B网站提交表单数据，B网站处理后将用户重定向回A网站。如果完全禁止跨域请求，许多正常的业务流程将无法实现。

Cookie的作用域通过以下属性控制：

Domain：指定哪些域名可以接收Cookie
Path：限制Cookie的有效路径
Secure：仅HTTPS连接时发送
HttpOnly：禁止JavaScript访问

但即使设置了这些属性，只要请求符合条件，浏览器仍会自动附加Cookie。例如：

code复制Set-Cookie: sessionid=abc123; Domain=.example.com; Path=/; Secure; HttpOnly

这个Cookie会在所有example.com子域名的HTTPS请求中自动发送，无论请求来自用户主动访问还是第三方网站触发。

3. 现代防御方案的技术实现

3.1 CSRF Token的工程实践

主流框架的CSRF Token实现方式：

Django示例：

python复制# settings.py
MIDDLEWARE = [
    'django.middleware.csrf.CsrfViewMiddleware',
]

# 模板中
<form method="post">
    {% csrf_token %}
    <input type="text" name="amount">
</form>

Spring Security配置：

java复制@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .csrf()
                .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse());
    }
}

SameSite属性的三种模式对比：

模式	是否发送Cookie	适用场景	兼容性
Strict	完全不发送	敏感操作(如支付)	IE不支持
Lax	GET请求发送	常规站点(默认值)	主流浏览器
None	总是发送	需要跨站功能的iframe应用	需配合Secure

设置示例：

code复制Set-Cookie: sessionid=xyz; SameSite=Lax; Secure

3.3 双重提交验证模式

对于API服务，可采用以下方案：

前端从Cookie中读取__Host-csrf-token
在自定义头(X-CSRF-Token)或请求体中提交该值
服务端比对两个值是否一致

Node.js实现示例：

javascript复制app.use((req, res, next) => {
    const csrfCookie = req.cookies['__Host-csrf-token'];
    const csrfHeader = req.headers['x-csrf-token'];
    
    if (['POST','PUT','DELETE'].includes(req.method) && 
        csrfCookie !== csrfHeader) {
        return res.status(403).send('CSRF验证失败');
    }
    next();
});

4. 特殊场景下的攻防演进

4.1 文件上传型CSRF

攻击者构造恶意SVG文件：

xml复制<svg xmlns="http://www.w3.org/2000/svg" onload="fetch('https://victim.com/delete-account',{method:'POST',credentials:'include'})"/>

防御方案：

严格校验Content-Type
使用随机文件名存储上传文件
禁止上传文件执行JavaScript

4.2 CORS与CSRF的协同防御

正确配置CORS策略：

nginx复制add_header 'Access-Control-Allow-Origin' 'https://trusted.com';
add_header 'Access-Control-Allow-Credentials' 'true';
add_header 'Access-Control-Allow-Methods' 'GET,POST';
add_header 'Access-Control-Allow-Headers' 'X-CSRF-Token';

4.3 第三方依赖的供应链攻击

检查package.json中的可疑依赖：

bash复制npm audit
npx socket-analyzer

5. 企业级安全防护体系

5.1 安全开发生命周期(SDL)集成

在CI/CD管道中加入安全检查：

yaml复制# .gitlab-ci.yml
stages:
  - security

csrf_check:
  stage: security
  image: owasp/zap
  script:
    - zap-baseline.py -t https://${STAGING_URL} -r report.html
  artifacts:
    paths: [report.html]

5.2 运行时防护方案

Nginx层防护配置：

nginx复制location / {
    # 检查Origin/referer头
    if ($http_origin !~* (example.com|trusted-partner.com)) {
        return 403;
    }
    
    # 动态注入CSRF Token
    sub_filter '</head>' '<meta name="csrf-token" content="$csrf_token"></head>';
    sub_filter_once on;
}

5.3 监控与应急响应

ELK日志监控规则示例：

json复制{
  "query": {
    "bool": {
      "must_not": [
        { "match": { "headers.referer": "https://example.com" }},
        { "exists": { "field": "headers.x-csrf-token" }}
      ],
      "must": [
        { "match": { "request.method": "POST" }}
      ]
    }
  }
}

6. 前沿防御技术探索

6.1 WebAuthn集成方案

使用生物识别替代Cookie认证：

javascript复制// 注册阶段
const credential = await navigator.credentials.create({
    publicKey: {
        challenge: new Uint8Array(32),
        rp: { name: "Example Corp" },
        user: { id: new Uint8Array(16), name: "user@example.com" },
        pubKeyCredParams: [{ type: "public-key", alg: -7 }]
    }
});

// 认证阶段
const assertion = await navigator.credentials.get({
    publicKey: {
        challenge: new Uint8Array(32),
        allowCredentials: [{
            type: "public-key",
            id: credential.rawId
        }]
    }
});

6.2 基于AI的异常检测

TensorFlow.js实现的请求特征分析：

javascript复制const model = await tf.loadLayersModel('csrf_model.json');
const features = {
    referer: req.get('Referer'),
    origin: req.get('Origin'),
    userAgent: req.get('User-Agent'),
    // ...其他特征
};

const prediction = model.predict(tf.tensor([features]));
if (prediction.dataSync()[0] > 0.9) {
    blockRequest(req);
}

在多年的安全实践中，我发现最坚固的防御往往来自对浏览器特性的深刻理解。比如最近处理的某金融案例中，攻击者利用Safari对SameSite Cookie的特殊处理方式绕过了常规防护。安全工程师需要持续关注各浏览器厂商的规范实现差异，建议定期复查OWASP Cheat Sheet系列文档，保持防御策略的时效性。