其他

CSRF攻击防御实战：Token验证机制详解

悠悠楠杉

2026-01-11

0 评论

4 阅读

正在检测是否收录...

01/11

在Web安全领域，CSRF（Cross-Site Request Forgery，跨站请求伪造）是一种常见的攻击手段。攻击者诱导用户在已登录的状态下执行非预期的操作，例如转账、修改密码等。本文将深入剖析CSRF攻击的原理，并重点介绍通过Token验证机制的防御方法，附带实战代码示例。

一、CSRF攻击原理

CSRF攻击的核心是利用用户的登录状态。例如，用户登录了银行网站A，攻击者在恶意网站B中嵌入一个伪造的请求（如转账接口）。如果用户访问B，浏览器会自动携带A的Cookie发起请求，导致恶意操作被执行。

攻击成功的三个条件：
1. 用户已登录目标网站（存在会话Cookie）。
2. 目标网站未部署CSRF防御措施。
3. 用户被诱导访问恶意页面。

二、Token验证防御机制

Token验证是目前最有效的CSRF防御方案之一，其核心思想是：每次请求需携带一个随机生成的Token，服务器验证该Token的合法性。

实现步骤：

生成Token：用户访问页面时，服务器生成一个随机Token（如UUID），并存储在服务端（Session或缓存）或Cookie中（需设置HttpOnly）。
传递Token：将Token嵌入表单或HTTP头（如自定义Header）。
验证Token：服务器比对请求中的Token与存储的Token，不一致则拒绝请求。

代码示例（基于Java Spring Boot）：

生成Token的工具类：

public class CsrfTokenUtil {  
    public static String generateToken() {  
        return UUID.randomUUID().toString();  
    }  
}

拦截器验证Token：

@Component  
public class CsrfTokenInterceptor implements HandlerInterceptor {  
    @Override  
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) {  
        String clientToken = request.getHeader("X-CSRF-TOKEN");  
        String serverToken = (String) request.getSession().getAttribute("csrfToken");  
        if (clientToken == null || !clientToken.equals(serverToken)) {  
            throw new RuntimeException("CSRF Token验证失败");  
        }  
        return true;  
    }  
}

前端表单嵌入Token（Thymeleaf示例）：

<form action="/transfer" method="post">  
    <input type="hidden" name="_csrf" th:value="${csrfToken}" />  
    <!-- 其他表单字段 -->  
</form>

三、增强安全性的最佳实践

Token绑定用户会话：Token应与用户Session关联，避免全局单一Token。
限制Token有效期：通过缓存设置TTL（如Redis的过期时间）。
双重Cookie验证：敏感操作可要求客户端同时携带Token和Cookie中的验证字段。
SameSite Cookie属性：设置Cookie的SameSite=Strict，阻止跨站请求携带Cookie。

四、常见问题解答

Q：Token是否会被XSS攻击窃取？
A：是的，若Token存储在Cookie或DOM中，XSS可能窃取它。因此需配合HttpOnly、CSP等防御XSS。
Q：API接口如何实现Token验证？
A：可通过自定义HTTP头（如X-CSRF-TOKEN）传递，并在网关层统一校验。