跨站请求伪造

跨站请求伪造，也称为一键攻击或会话劫持，并缩写为 CSRF 或 XSRF，是一种恶意利用网站或 Web 应用程序的攻击类型，其中未经授权的命令由 Web 应用程序信任的用户提交。恶意网站可以通过多种方式传输此类命令；例如，经过特殊定制的图像标签、隐藏表单以及 JavaScript fetch 或 XMLHttpRequest，都可以在用户没有交互或知情的情况下工作。与跨站脚本（XSS）不同，后者利用用户对特定站点的信任，CSRF 利用站点对用户浏览器的信任。