第4章 跨站点请求伪造（CSRF）

4.1 CSRF简介

CSRF（Cross-site request forgery跨站请求伪造，也被称为“one click attack”或者session riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。

CSRF是一种依赖web浏览器的、被混淆过的代理人***（deputy attack）。

4.2 CSRF进阶

浏览器所持有的Cookie分为两种：一种是“Sesion Cookie”，又称“临时Cookie”；另一种是“Third-party Cookie”，也称为“本地cookie”。两者的区别在于，Third-party Cookie是服务器在Set-Cookie时指定Expire时间，只是到了Expire时间后Cookie才会失效，所以这种Cookie才会保存在本地；Session Cookie则没有指定Expire时间，所以关闭浏览器，Session Cookie就会失效。

在浏览网站的过程中，若是一个网站设置了Session Cookie，那么在浏览器的进程的生命周期内，及时浏览器心打开一个Tab页面，SessionCookie也是有效的，SessionCookie保存在浏览器进程的内存空间中。

IE处于安全的考虑，默认禁止了浏览器在，