4.网站B接收到用户请求后，返回一些攻击性代码，并发出一个请求要求访 问第三方站点A；
5.浏览器在接收到这些攻击性代码后，根据网站B的请求，在用户不知情的 情况下携带Cookie信息，向网站A发出请求 。网站A并不知道该请求其实是 由B发起的，所以会根据用户C的Cookie信息以C的权限处理该请求，导致 来自网站B的恶意代码被执行 。
防范:
1.检查Referer字段
HTTP头中有一个Referer字段，这个字段用以标明请求来源于哪个地址 。在 处理敏感数据请求时，通常来说，Referer字段应和请求的地址位于同一域 名下 。以上文银行操作为例，Referer字段地址通常应该是转账按钮所在的 网页地址，应该也位于www.examplebank.com之下 。而如果是CSRF攻击传 来的请求，Referer字段会是包含恶意网址的地址，不会位于 www.examplebank.com之下，这时候服务器就能识别出恶意的访问 。
2.添加校验token
由于CSRF的本质在于攻击者欺骗用户去访问自己设置的地址，所以如果要求 在访问敏感数据请求时，要求用户浏览器提供不保存在cookie中，并且攻击 者无法伪造的数据作为校验，那么攻击者就无法再执行CSRF攻击 。这种数据 通常是表单中的一个数据项 。服务器将其生成并附加在表单中，其内容是一个 伪乱数 。当客户端通过表单提交请求时，这个伪乱数也一并提交上去以供校验 。正常的访问时，客户端浏览器能够正确得到并传回这个伪乱数，而通过CSRF 传来的欺骗性攻击中，攻击者无从事先得知这个伪乱数的值，服务器端就会因 为校验token的值为空或者错误，拒绝这个可疑请求 。
【常见web安全问题，SQL注入、XSS、CSRF，基本原理以及如何防御】
推荐阅读
- 跑步锻炼肌肉方法
- 劳动法中常见的误区，你中弹了吗？
- 老电工提醒：电热水器要想做到零事故，做好这4点，省电又安全
- 瑜伽球操的禁忌介绍
- 刹车|车主曝特斯拉安全隐患：后排一个饮料瓶可致“刹车Bug”
- 外墙饰面材料有哪几种 常见的外墙装饰材料有哪些
- websocket连接太多导致服务器卡顿怎么办？一招轻松实现横向扩展
- 种植眉毛的四种常见方法
- 前端开发人员要懂的10个安全措施
- 钢琴入门年龄与常见问题