CSRF（Cross-Site Request Forgery），中文称为跨站请求伪造，是一种常见的网络攻击方式。攻击者通过伪造合法用户的请求，让用户在不知情的情况下执行恶意操作。
攻击者如何拿到用户身份：
攻击者需要知道目标网站的请求参数，并在用户登录目标网站之后，在用户的浏览器中注入一段恶意代码。当用户在未登出目标网站的情况下，访问攻击者的网站时，攻击者的网站会自动向目标网站发送伪造的请求，从而让用户在不知情的情况下执行恶意操作。
CSRF 预防方法：
- 随机化表单token：在表单中加入随机化的token，只有这个token是合法的，服务器才能接受到请求。攻击者无法获取到这个token，从而无法伪造请求。
- 检查Referer头：Referer头可以检查请求来源是否合法。但是Referer头可以被篡改，因此不能完全依赖它。
- 验证码：将验证码添加到请求中，只有输入正确的验证码后，请求才能被服务器接受。
- 设置cookie为httpOnly：设置cookie的httponly属性为true，可以防止攻击者通过JavaScript脚本获取cookie的值，从而提高安全性。
CSRF Token 如何实现无法伪造：
为了防止攻击者伪造请求，CSRF Token需要满足以下要求：
- 随机性：CSRF Token应该是随机生成的，攻击者无法预测下一个Token的值。
- 唯一性：每个Token只能使用一次，防止攻击者重复利用Token发起攻击。
- 与用户关联：CSRF Token应该与用户相关，通常在生成Token时将其存储在session或cookie中。
- 验证有效性：服务器需要对Token进行验证，判断请求是否合法。
实现无法伪造的CSRF Token，可以使用加密算法和随机数生成器来生成Token，确保Token的随机性和唯一性。同时，Token应该与用户相关，通常使用用户的session ID或者cookie来关联Token，从而确保Token的有效性。
