CSRF，跨域请求伪造
原因
- 访问安全网站 A，本地保存 cookie
- 访问恶意网站 B，B页面中跨域向 A 发送请求，会自动附带 cookie
防御
基本上防御方式都是通过添加伪随机数。
CSRF 攻击之所以能够成功，是因为黑客可以完全伪造用户的请求，该请求中所有的用户验证信息都是存在于 cookie 中，因此黑客可以在不知道这些验证信息的情况下直接利用用户自己的 cookie 来通过安全验证。要抵御 CSRF，关键在于在请求中放入黑客所不能伪造的信息，并且该信息不存在于 cookie 之中。可以在 HTTP 请求中以参数的形式加入一个随机产生的 token，并在服务器端建立一个拦截器来验证这个 token，如果请求中没有 token 或者 token 内容不正确，则认为可能是 CSRF 攻击而拒绝该请求。
- 后台判断 Referer 头
- 使用验证码
- 使用 token，在后台中存到 session 中，前台中 token 放在一个隐藏的元素中
- 在 http 头中添加自定义字段，前后台根据此字段验证
