解释 CSRF

跨站请求伪造 (CSRF/XSRF) 是一种利用用户权限劫持会话的攻击。这种攻击策略允许攻击者通过诱骗用户以攻击者的名义提交恶意请求，从而绕过我们的安全措施。

CSRF 攻击之所以可能发生，是因为两个原因。首先，CSRF 攻击利用了用户无法辨别看似合法的 HTML 元素是否包含恶意代码这一特性。其次，由于这些攻击来自合法用户，因此保护机制不适用。这使得恶意攻击者能够欺骗用户，从而损害自身利益。

更重要的是，恶意攻击者能够掩盖 HTML 元素，并可以通过聊天或电子邮件等途径利用社交工程手段造成严重影响。此外，这些漏洞似乎来自普通用户的信任来源，劫持了他们对日常所依赖系统的信任。

CSRF攻击

为了更准确地说明跨站点请求伪造攻击如何劫持系统，让我们来探讨以下示例。

一位用户收到一封看似来自可靠来源的电子邮件。假设攻击者模仿了银行机构的形象，并设法将邮件伪装成合法邮件。受害者，也就是我们这位不懂技术的阿姨，看到了这封邮件，邮件内容是她急需点击邮件中提供的链接，查看银行已标记为可疑的一笔异常交易。

阿姨赶紧照做了，没有核实链接来源的真实性就点击了，然后就被带到了银行网站。这个网站合法合规，没有任何恶意操作的迹象。它甚至显示为安全，网址也与网站信息相符。然后，她要么丢弃邮件，要么打电话给银行。

现在，可能发生的情况多种多样。例如，当我