这是我参与「第四届青训营 」笔记创作活动的的第4天
有一类网站属于恶意网站，专门用于盗取他人信息，执行非法操作，甚至获取他人账户中的财产，非法转账等。我们需要了解一种比较容易发生的恶意操作，从不法分子的角度去了解整个流程。
在我们一开始访问网站的时候，服务端会给浏览器一个Cookie信息作为会话的唯一凭据，只要用户携带此Cookie访问我们的网站，那么我们就可以认定此会话属于哪个浏览器。因此，只要此会话的用户执行了登录操作，那么就可以随意访问个人信息等内容。
比如现在，我们的服务器新增了一个转账的接口，用户登录之后，只需要使用POST请求携带需要转账的金额和转账人访问此接口就可以进行转账操作：
@RequestMapping("/index")
public String index(HttpSession session){
session.setAttribute("login", true); //这里就正常访问一下index表示登陆
return "index";
}
@RequestMapping(value = "/pay", method = RequestMethod.POST, produces = "text/html;charset=utf-8")
@ResponseBody
public String pay(String account,
int amount,
@SessionAttribute("login") Boolean isLogin){
if (isLogin) return "成功转账 ￥"+amount+" 给："+account;
else return "转账失败，您没有登陆！";
}
我们为了搜索学习资料时可能一不小心访问了一个恶意网站，而此网站携带了这样一段内容：
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>(恶)学(意)习网站</title>
</head>
<body>
<div>
<div>请先充值后再观看学习视频</div>
<form action="http://localhost:8080/mvc/pay" method="post">
<input type="text" name="account" value="hacker" hidden>
<input type="number" name="amount" value="123456" hidden>
<input type="submit" value="点我充值，观看视频">
</form>
</div>
</body>
</html>
注意这个页面并不是我们官方提供的页面，而是不法分子搭建的恶意网站。我们发现此页面中有一个表单，但是表单中的两个输入框被隐藏了（hidden），而我们看到的只有一个按钮。
我们不知道这是一个表单，也不知道表单会提交给那个地址，这时整个页面就非常有迷惑性了。如果我们点击此按钮，那么整个表单的数据会以POST的形式发送给我们的服务端（会携带之前登陆我们网站的Cookie信息），但是这里很明显是另一个网站跳转。
通过这样的方式，恶意网站就成功地在我们毫不知情的情况下引导我们执行了转账操作，当你发现上当受骗时，钱已经被转走了。
而这种构建恶意页面，引导用户访问对应网站执行操作的方式称为：跨站请求伪造（CSRF，Cross Site Request Forgery）
为了防御该类的攻击，可以采取以下的监测和防御措施：
