CSRF（跨站请求伪造）与跨域请求
在网络安全领域，CSRF（Cross-Site Request Forgery，跨站请求伪造）和跨域请求是两个重要的概念，它们都涉及到网站与用户浏览器之间的交互安全问题。尽管它们听起来相似，但实际上指的是两种不同的安全威胁。
CSRF（跨站请求伪造）
CSRF攻击是一种网络攻击手段，攻击者通过诱导用户在不知情的情况下，向他们已经认证过的网站发送恶意请求。这种攻击利用了Web应用的漏洞，允许攻击者在用户的浏览器中执行未经授权的操作。
CSRF攻击的工作原理：
- 用户登录了一个网站（例如，银行网站），并保持会话（例如，通过Cookie）。
- 用户在不知情的情况下访问了攻击者的网站或点击了攻击者发送的链接。
- 攻击者的网站向用户已登录的网站发送了一个请求（例如，一个表单提交或一个API调用）。
- 用户的浏览器包含了认证信息（如Cookie），因此请求被当作经过认证的用户发出。
- 目标网站接收到请求并执行操作（例如，转账或更改设置），因为认证信息是有效的。
防御CSRF攻击的策略：
- 使用CSRF Token：为每个用户会话生成一个唯一的Token，并在表单提交时验证这个Token。
- 验证Referer头部：检查HTTP请求的Referer头部，确保请求来自合法的页面。
- 使用SameSite Cookie属性：设置Cookie的SameSite属性，限制Cookie在跨站请求中的使用。
- 双重Cookie验证：除了在客户端使用Cookie外，还可以在服务器端进行认证信息的验证。
跨域请求
跨域请求（Cross-Origin Resource Sharing，CORS）是指浏览器在处理来自不同源的请求时，出于安全考虑，实施的一种安全机制。源由协议、域名和端口共同决定。跨域请求在Web开发中非常常见，特别是在单页应用（SPA）和Web服务之间进行通信时。
跨域请求的处理：
- CORS策略：浏览器和服务器共同实现CORS策略，允许或拒绝跨域请求。
- Access-Control-Allow-Origin：服务器在HTTP响应中设置这个头部，指定哪些源可以访问资源。
- 预检请求（Preflight Request）：对于某些类型的请求，浏览器会先发送一个OPTIONS请求到服务器，询问是否可以进行实际的请求。
- CORS与JSONP：JSONP（JSON with Padding）是一种早期的跨域解决方案，通过动态创建
