学习完了跨站脚本攻击，进入了跨站请求伪造的学习
从名字看出来都有跨站，这个站意味着在前端完成这种攻击行为，
基本概念
跨站请求伪造(Cross Site Request Forgery, CSRF)，是一种攻击，它强制浏览器客户端用户在当前对其进行身份验证后的Web 应用程序上执行非本意操作的攻击，攻击的重点在于更改状态的请求，而不是盗取数据，因为攻击者无法查看伪造请求的响应比如CSRF不能做SQL注入，因为看不到回显（从技术角度可以，但实际操作很难），获取不到响应
借助于社工的一些帮助，例如，通过电子邮件或聊天发送链接，攻击者可以诱骗用户执行攻击者选择的操作。如果受害者是普通用户，则成功的 CSRF 攻击可以强制用户执行更改状态的请求，例如转移资金、修改密码等操作。如果受害者是管理账户，CSRF 攻击会危及整个Web 应用程序。
关键点
受害者没有退出登录，受害者保持身份认证。
CSRF 继承了受害者的身份和特权，代表受害者执行非本意的、恶意的操作。
CSRF 会借用浏览器中与站点关联的所有身份凭据，例如用户的会话Cookie，IP 地址，Windows 域凭据等。
目标
CSRF 的目标是更改用户账户的状态，攻击者利用CSRF 发送的请求都是更改状态的请求，比如，转账、更改密码，购买商品等等。
CSRF 的场景中，攻击者是没有办法获得服务器的响应。
学习目录
上一章XSS笔记如下：xss学习目录
CSRF学习目录：