防范跨站请求伪造（CSRF）攻击的关键在于确保请求的合法性，避免攻击者利用用户的已认证身份执行非授权操作,以下是几种有效的防范措施：
-
使用CSRF Token：在表单或请求中嵌入一个随机生成的Token，并在服务器端进行验证，只有Token匹配的请求才被视为合法,这是最常用的方法。
-
同源检测：检查请求的Origin或Referer头，确保请求来自受信任的源,注意某些浏览器或代理可能不发送这些头信息。
-
设置SameSite Cookie属性：将Cookie的SameSite属性设置为Strict或Lax，限制第三方网站发起的请求携带Cookie,从而减少CSRF风险。
-
增加自定义请求头：在关键请求中加入自定义头（如X-Requested-With: XMLHttpRequest），并验证其存在，由于跨域请求无法添加自定义头,可有效防止CSRF。
-
双重提交Cookie：在请求参数中提交一个随机值，并将其与Cookie中的值进行比对,确保请求来源一致。
-
使用验证码或二次确认：对于高危操作（如转账、删除账号），要求用户输入验证码或进行二次确认,增加攻击难度。
-
限制GET请求的使用：避免使用GET请求执行状态修改操作，因为GET请求更容易被伪造，所有修改操作应使用POST、PUT或DELETE等方法。
-
实施CSRF白名单：仅允许某些特定的请求来源或操作模式,拒绝其他不合法请求。
综合以上措施，通常推荐结合CSRF Token和SameSite Cookie属性作为基础防护，同时针对关键操作增加额外的验证手段，开发时应确保所有敏感请求都经过严格验证,定期检查安全策略并及时更新。
