CSRF（跨站请求伪造，Cross-Site Request Forgery）攻击是一种网络攻击方法，它迫使终端用户在当前已认证的Web应用中执行非授权的命令。攻击者利用用户的信任，诱导或通过其他方式使用户的浏览器产生对受信任站点的恶意请求。

攻击的基本原理是这样的：当用户登录一个网站（比如银行网站）后，在没有登出的前提下，访问了攻击者准备好的一个恶意网页。这个网页中包含了一个请求，这个请求是发送到银行网站的，因为用户之前已经登录过银行网站，并且可能还保持着登录状态，所以请求会带着用户的验证信息（比如Cookies）。于是，攻击者就可以利用用户的登录状态，无需知道用户的密码或其他身份验证信息，来完成一些如转账等恶意操作。

如何防御CSRF攻击：

1. Token验证：最常用的CSRF防御机制是使用Anti-CSRF Token。这意味着对于每个用户的会话，服务器都会生成一个随机的token，并在表单提交时与请求一起发送。服务器检查这个token是否存在且有效，如果请求中缺少token或token不匹配，服务器将拒绝请求。

2. 双重Cookie验证：服务器在设置Cookie时，会将其值赋值到请求参数中，请求时将Cookie和请求参数中的值进行比较，如果一致，则认为请求是合法的。

3. Referer验证：服务器可以验证HTTP请求头中的Referer字段，以检查请求是否来自合法的源。不过，有些情况下用户的浏览器可能不发送Referer字段。

4. 自定义请求头：由于CSRF通常是由第三方站点发起的，因此可以要求所有敏感操作都必须通过带有自定义请求头的XMLHttpRequest发起，这样的请求不可能由第三方站点发起。

5. 使用同源策略：确保敏感请求仅接受同源的请求，这可以通过检测请求的来源来实现。

6. 其他措施：要求进行复杂操作（如更改密码、进行金钱交易）时重新输入密码，或者使用多因素身份验证等。

在一些现代的Web框架中（如Django、Flask、Rails等），通常已经内置了对CSRF攻击的防御机制，开发者只需遵循框架的最佳实践即可有效防御CSRF攻击。

你可能感兴趣：Django中如何实现防御CSRF攻击呢