1.csrf中文含义跨站请求伪造
要完成一次csrf攻击需要满足的条件：要完成一次CSRF攻击，受害者必须满足两个必要的条件：
（1）登录受信任网站A，并在本地生成Cookie。（如果用户没有登录网站A，那么网站B在诱导的时候，请求网站A的api接口时，会提示你登录）
（2）在不登出A的情况下，访问危险网站B（其实是利用了网站A的漏洞）。
2.csrf与xss的区别
（1）网站是需要进行登录之后
（2）是利用网站A本身的漏洞，去请求网站A的api。XSS：是向网站 A 注入 JS代码，然后执行 JS 里的代码，篡改网站A的内容。
3.csrf的分类
站内：滥用$_request变量（支持get和post两种传输方式）造成的
站外：在留言板的插入恶意连接，当管理员查看之后就会在自己不知情的情况下执行链接的操作。
4.实验
（1）dz论坛脱库
csrf 有点像钓鱼，但是要是想脱库最重要的还是需要知道备份路径，至于备份的文件名是自己启的http://192.168.1.224:8082/dz/uc_server/data/backup/66666/aaaa-1.sql
（2）dvwa修改密码
安全级别：low
可以直接根据链接中的函数修改密码，没有任何约束
安全级别：medium
需要对http头的referer字段进行验证，验证referer必须为规定网页跳转的即可。
安全级别：high
需要对用户的token进行验证。
5.csrf防范
增加referer验证。
增加token值验证与session token验证。
