CSRF攻击概述
CSRF（跨站请求伪造，Cross-Site Request Forgery）是一种常见的网络攻击方式。在这种攻击中，攻击者诱导已经登录的用户在不知情的情况下发送请求到一个应用程序，从而在没有用户意识并且使用用户自身权限的情况下执行攻击者预定义的操作。
举个例子
假设你登录了你的银行网站并且身份验证的信息（例如Cookie）在浏览器中存储着。然后你在不关闭银行网页的情况下，又浏览了攻击者构造的网页，该网页含有一张看似无害的图片，图片的请求其实指向银行网站的转账接口，并试图执行转账操作。因为你已经认证，所以请求会带上你的认证信息，如果银行网站没有防御机制，那么这个转账操作有可能被执行。
Spring Security防御CSRF攻击
Spring Security提供了防御CSRF攻击的机制，默认情况下是开启的。它的主要策略是“同步令牌模式”（Synchronizer Token Pattern），其工作机制如下：
- 服务端为每个用户会话生成一个唯一的CSRF令牌（token）。
- 这个令牌会随着每一个表单或者需要受保护的请求一起发送到客户端。
- 当用户提交表单或者发送请求时，必须携带这个令牌。
- 服务端接收到请求后会验证令牌是否匹配当前用户会话中存储的令牌。
- 如果匹配，则请求有效；否则，认为是CSRF攻击，请求被拒绝。
在Spring Security中，你可以这样配置CSRF保护：
@Override
protected void configure(HttpSecurity http) throws Exception {http.csrf().disable() // 禁用 CSRF 防护，仅当确实不需要时使用// 如果需要开启（默认是开启状态），可以不写或者明确开启.csrf().enable();// 其他的配置...
}
通常情况下，你无需手动添加CSRF令牌，因为Spring Security的标签库会自动为表单加上CSRF令牌。
若要在表单中手动添加CSRF令牌，可以这样：
<form action="/transfer" method="post"><!-- 在表单中手动添加隐藏域来包含CSRF令牌 --><input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}" /><!-- 表单的其余部分 -->
</form>
和其他任何安全措施一样，开启CSRF防护是好的做法，但这不是完全无懈可击的。作为开发者，应该确保站点的所有服务端操作都考虑到潜在的安全漏洞，并采用如CSRF令牌等多种安全措施来提升应用程序的安全性。
-- 如何将Igh移植到Linux/Windows/RTOS等多操作系统)
)
