<!-- 惡意網(wǎng)站上的代碼 -->
<img src="https://your-bank.com/transfer?to=hacker&amount=10000" width="0" height="0" />
<!-- 或隱藏表單 -->
<form action="https://your-bank.com/change-email" method="POST">
  <input type="hidden" name="email" value="hacker@evil.com">
</form>
<script>document.forms[0].submit();</script>

# 移動(dòng)App通過(guò)API訪問(wèn)后端
# 使用Token認(rèn)證（JWT/OAuth），而不是Session
Authorization: Bearer eyJhbGciOiJIUzI1NiIs...

GET /api/users          # 只讀操作，通常不需要CSRF
POST /api/transfer      # 寫操作，需要CSRF

# 服務(wù)間調(diào)用使用服務(wù)憑證，而不是用戶會(huì)話
service-to-service: true

// GraphQL通常使用token而不是session
// 或某些實(shí)時(shí)通信應(yīng)用

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .csrf().disable()  // 禁用CSRF
            .authorizeRequests()
            .anyRequest().authenticated()
            .and()
            .httpBasic();  // 使用HTTP Basic認(rèn)證
    }
}

# settings.py
CSRF_COOKIE_SECURE = False  # 禁用CSRF
# 或針對(duì)特定視圖
from django.views.decorators.csrf import csrf_exempt
@csrf_exempt
def api_view(request):
    pass

# 替代方案示例：
1. JWT Token認(rèn)證:
   每次請(qǐng)求攜帶: Authorization: Bearer <token>
2. API Key + Secret:
   請(qǐng)求簽名: X-Signature: sha256(api_secret + request_data)
3. OAuth 2.0:
   使用Access Token進(jìn)行授權(quán)
4. CORS限制:
   Access-Control-Allow-Origin: https://trusted-domain.com
5. Rate Limiting:
   限制請(qǐng)求頻率防止濫用

// 在Spring中，可以針對(duì)不同端點(diǎn)配置不同的CSRF策略
public class SecurityConfig {
    protected void configure(HttpSecurity http) {
        http
            // 對(duì)Web頁(yè)面啟用CSRF
            .csrf(csrf -> csrf
                .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse())
                .csrfTokenRequestHandler(new CsrfTokenRequestAttributeHandler())
            )
                .requireCsrfProtectionMatcher(
                    new RequestMatcher() {
                        public boolean matches(HttpServletRequest request) {
                            // 僅對(duì)特定路徑啟用CSRF
                            return request.getRequestURI().startsWith("/web/");
                        }
                    })
            .and()
            // API端點(diǎn)使用無(wú)狀態(tài)認(rèn)證
            .authorizeRequests()
                .antMatchers("/api/**").authenticated()
                .and()
            .sessionManagement()
                .sessionCreationPolicy(SessionCreationPolicy.STATELESS); // API無(wú)狀態(tài)
    }
}

# 使用 curl 測(cè)試
# 1. 先獲取 CSRF Token（從登錄后的 Cookie 或響應(yīng)頭）
# 2. 發(fā)送帶 CSRF Token 的請(qǐng)求
curl -X POST http://localhost:8080/api/test \
  -H "Content-Type: application/json" \
  -H "X-XSRF-TOKEN: YOUR_CSRF_TOKEN" \
  -H "Cookie: XSRF-TOKEN=YOUR_CSRF_TOKEN" \
  -d '{"data": "test"}'