csrf自动化检测调研

https://github.com/pillarjs/understanding-csrf/blob/master/README_zh.md

CSRF

攻击者在钓鱼站点，可以通过创建一个AJAX按钮或者表单来针对你的网站创建一个请求：

复制代码

<form action="https://my.site.com/me/something-destructive" method="POST">
  <button type="submit">Click here for free money!</button>
</form>

csrf防御

只接收JSON：通过只接收JSON数据作为API的输入，可以降低CSRF攻击的风险。因为JSON数据在请求中是作为数据负载（payload）的一部分发送的，而不是在URL参数或表单数据中。这使得攻击者无法通过构造恶意URL或表单来伪造请求。
禁用CORS（Cross-Origin Resource Sharing）是一种减轻CSRF攻击的方法之一。CORS是一种机制，用于控制浏览器在跨域请求时是否允许访问资源。默认情况下，浏览器会执行同源策略，即在一个域名下的页面只能请求同一域名下的资源。但是，通过CORS机制，服务器可以发送特定的响应头，告诉浏览器允许来自其他域名的请求访问资源。建议限制跨域请求只允许使用特定的HTTP方法，如OPTIONS、HEAD和GET。这是因为这些方法通常不会对服务器端产生副作用，即不会执行对数据的修改或删除等操作。 需要注意的是，禁用CORS并不能完全阻止CSRF攻击。因为在CSRF攻击中，攻击者利用用户在已登录状态下的身份执行操作，而不是直接通过JavaScript发起请求（使用JavaScript发起AJAX请求是限制跨域的）。因此，即使禁用了CORS，攻击者仍然可以通过其他方式欺骗用户执行恶意请求。
检验referer。检验referrer头部很麻烦，但是你可以阻止那些referrer头部不是来自你的页面的请求。
代码编写者不要让get请求具体副作用，不要让get请求可以去增删改数据库。应该确保将GET请求用于无副作用的操作，仅用于获取资源的信息。对于具有副作用的操作，应使用POST、PUT、DELETE等方法
CSRF Tokens（跨站请求伪造令牌）是一种解决CSRF攻击的安全措施。以下是CSRF tokens的工作原理：
1. 服务器向客户端发送一个令牌（token）。
2. 客户端在提交表单时将该令牌包含在表单中。
3. 如果该令牌不合法，服务器将拒绝该请求。
攻击者需要通过某种方式获取你站点的CSRF令牌，他们只能使用JavaScript来实现。因此，如果你的站点不支持CORS（跨域资源共享），攻击者无法获取到CSRF令牌，从而降低了威胁。

确保CSRF令牌无法通过AJAX访问！不要创建一个用于获取令牌的/CSRF路由，并且尤其不要在该路由上支持CORS！