CSRF防御
通过前面的一些实战案例，我们可以知道CSRF的危害是很大的，虽然利用添加比较苛刻，但是一旦利用，后果不堪设想。如果黑客利用管理员的身份进行一些操作，比如添加用户，添加权限，删除用户等。可想而知，这个影响是巨大的。
所以我们需要对CSRF进行防御，要制定防御措施，我们就要从攻击的思维去做防护，主要是给攻击者提高构造恶意请求的难度：
- token验证：黑客了解接口之后，可以构造恶意请求，所以为了避免黑客让受害者执行恶意请求，我们需要加上服务端对客户端的token验证，确保每一个请求都需要携带不同的token，这就让黑客无法构造正确的token
- 二次验证：在进行关键操作之前，比如修改密码，我们需要添加一个参数，原密码，这样就能加大攻击者构造恶意请求的时候的难度，如果攻击者不知道原密码，就无法构造好请求，就无法让受害者成功执行。
- 验证Referer字段：对于每一个请求，服务端都需要进行Referer字段的校验，禁止来自其他服务器的请求来访问当前web程序。当然由于Referer是请求头的信息，Referer字段也是可以构造的，这个方式防护效果不太好。