一、CSRF简介
CSRF（Cross-site request forgery跨站请求伪造），也被称为“one click attack”或者session riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。
CSRF是一种依赖web浏览器的、被混淆过的代理人***（deputy attack）。
CSRF与之前说道XSS相比，出现比较少，流行度也不高，但是一旦出现，就是危害巨大的，难于防御（因为影响业务和用户体验）。CSRF***的本质是***者盗用合法用户的身份性，以用户的名义进行非法操作。
二、CSRF进阶
浏览器所持有的Cookie分为两种：一种是“Sesion Cookie”，又称“临时Cookie”；另一种是“Third-party Cookie”，也称为“本地cookie”。两者的区别在于，Third-party Cookie是服务器在Set-Cookie时指定Expire时间，只是到了Expire时间后Cookie才会失效，所以这种Cookie才会保存在本地；Session Cookie则没有指定Expire时间，所以关闭浏览器，Session Cookie就会失效。
在浏览网站的过程中，若是一个网站设置了Session Cookie，那么在浏览器的进程的生命周期内，及时浏览器心打开一个Tab页面，Session Cookie也是有效的，Session Cookie保存在浏览器进程的内存空间中。CSRF***就是建立在会话之上的。
总结一下，CSRF***需要两个条件：
1、CSRF***建立在浏览器与服务器的会话中；
2、欺骗用户访问***URL；
浏览器也会有一些安全策略防御，IE处于安全的考虑，默认禁止了浏览器在，