csrf

Spring Security 过滤器链定制：认证、CORS 与 CSRF 的先后顺序假设你在维护一个前后端分离的系统：前端跑在 https://app.example.test，后端 API 跑在 https://api.example.test，浏览器会先问一句“我能不能跨域调你”，再真正发起带 Cookie 或带令牌的请求。最近团队加了一个自定义过滤器，用来给每个请求打上租户标识；加完之后发现三件事同时坏了：跨域预检请求返回 403、写操作报“CSRF 令牌缺失”、部分认证失败又返回 HTML 而不是 JSON。

Spring Security会话管理与CSRF详解定位：第 04 篇，讲透会话形态与认证状态管理、会话固定攻击防护、并发会话控制与 CSRF 防护机制适用版本：Spring Security 6.x（Spring Boot 3.x）

今年下半年

【Spring Cloud】Spring Cloud Gateway 防 XSS / 防 CSRF 实现目标：在网关层统一做 XSS 清洗与 CSRF 来源校验，业务服务不必各自实现。两者都依赖 Spring Cloud Gateway 的 GlobalFilter 实现，配套一个必须先执行的 CacheBodyGlobalFilter（order = HIGHEST_PRECEDENCE），它把请求体缓存成"可重复读"，否则 XSS 过滤器重写 body 时会报"请求体已被订阅"。

程序员Sunday

XSS 和 CSRF 有什么区别？HttpOnly、SameSite 和 Token 分别防什么？XSS 是不可信输入被页面当作可执行内容，攻击者因此获得当前页面里的脚本能力。主要防护是按输出上下文正确编码，富文本使用可靠净化，并避免危险的动态执行入口，CSP 可作为额外防线。

DVWA(XSS Reflected/Stored High,CSRF Low)1.这个题目我们用最普通的JS指令获取Cookie的方法是行不通的，然后我们就要想到之前做到这样的题目还可以去联想其他方法，比如：

Blazor 安全设计：一个 Blazor Admin 后台需要防哪些攻击？这篇是安全专题的总览，把散落在各篇里的机制汇总成一张"攻击面 → 防护 → 证据"的对照表。目标不是制造紧张感，而是让每一类风险都能指到具体代码。

成为全栈·Next.js 网站前台篇·同源 BFF 代理：API、附件、Cookie 与跨站写入保护Route Handler 代理不是把一个 URL 原样转发到另一个 URL。它还要限制目标地址、保留查询串、正确处理多个 Set-Cookie、隔离私有缓存，并拒绝明确的跨站写入。

网络爬虫与 CDP 实战（二）：浏览器能访问，Python 却被拒绝？拆开登录态与 CSRF配套实验网站：实验 05：Session 账户 · 实验 06：CSRF 购物车 · 实验 07：Token 账户

前端鉴权实战：Token 存哪、怎么刷新、怎么防 XSS 与 CSRF“localStorage 里存 token 有 XSS 风险，那放 cookie 就安全了”——错，CSRF 在等着。

知识分享平台项目复习第二天：登录模块中的双令牌与刷新安全（2）复习日期：2026-09-14 当前主线：认证安全——登录闭环第一天复习登录模块时，我已经理解了 Access Token、Refresh Token、Redis jti 白名单、Rotation 和登出空窗期。继续讨论前端令牌存储时，又出现了一个新的问题：当前项目把 Access Token 和 Refresh Token 都保存在 localStorage 中，这样虽然实现简单，但需要考虑浏览器环境中的安全风险。

登录后的那一个小时：把前端会话续期做成可收敛的控制面很多登录态问题，最初都表现得像一个很小的前端故障：页面突然跳回登录页、某个请求重复提交、一个标签页已经退出，另一个标签页却仍显示“已登录”。

凭证不是登录态：从攻击面重做浏览器认证设计前端认证设计不应停留在“Cookie 和 Token 哪个更安全”。Cookie 是浏览器保存和自动发送数据的机制，Session ID、JWT、Access Token、Refresh Token 才可能是凭证；登录态则是服务端与客户端共同维护的认证上下文。

网安蟹佬霸

Android安全攻防实战：从APK逆向到Frida动态Hook全流程详解（附脚本）移动安全攻防是网络安全领域的重要分支，Android凭借全球超过70%的市场占有率，成为移动应用安全研究的主战场。一台 rooted 手机配合 Frida、objection、IDA Pro 等工具，足以完成从静态逆向到动态 Hook、从协议分析到漏洞利用的完整链路。本文按"架构认知 → 静态逆向 → 动态分析 → 漏洞实战 → 防御加固"的递进顺序，系统梳理 Android 安全攻防的完整技术栈，所有脚本均经过实测可复现。

登录态失控时，前端如何止损：从令牌轮换到会话退出的完整设计很多登录态设计讨论，最终都会落到“JWT 放 Cookie 还是 localStorage”上。但这只是凭证如何携带或存放的一小部分。

障碍的枫子

xss和CSRF的攻击和防御xss（跨站脚本攻击）是一种通过向网页端注入恶意脚本，在用户浏览器执行攻击代码的漏洞，会通过url参数、表单提交等，窃取用户的身份凭证（如cookie、session）和篡改页面内容（如插入虚假广告或链接）。

英文技术标准和协议规范怎么读？RFC、接口规范与安全标准 PDF 翻译流程摘要：RFC、接口规范和安全标准不同于普通技术教程，其中的关键词、条件、例外和版本状态都具有明确含义。译文如果弱化 MUST、SHOULD、MAY 等规范性要求，可能直接影响协议实现。本文给出一套以中文译文建立上下文、以正式原文确认规则的阅读流程。

Full Stack Developme

跨站请求伪造 (CSRF) 是什么设计及工作原理SQL注入和XSS攻击的是服务端/客户端代码，而CSRF（跨站请求伪造）攻击的是用户的浏览器身份认证机制。

CSRF跨站请求伪造基础也被称为One Click Attack或Session Riding。又常缩写为XSRF。是一种对网站的恶意利用，与XSS的不同是，XSS攻击利用的是站点内的信任用户，而CSRF则通过伪装成受信任用户请求受信任的网站。

摸鱼停不住先生

CSRF 专题：基于 Referer 的防御与典型绕过部分应用通过检查 HTTP Referer 请求头，判断敏感请求是否来自本站页面。这种机制可以作为辅助防御，但不适合作为唯一的 CSRF 防线。

零基础 Web 安全笔记：文件包含 / 命令执行 / CSRF 漏洞攻防、PHP 函数与防御方案目录一、文件包含漏洞（一）靶场用到的 PHP 函数 / 配置1. 核心包含函数：include / include_once / require / require_once