我见过最讽刺的漏洞CSRF攻击，发生在某家银行的防护方法内部管理系统上。攻击者只是漏洞给财务人员发了一封看似普通的邮件，里面藏着一个标签，防护方法图片地址实际上是漏洞转账接口。当财务人员打开邮件时，防护方法浏览器自动请求了那个URL——转账请求就这样带着他的漏洞Cookie发出去了。整个过程，防护方法财务人员毫无察觉，漏洞直到月底对账才发现资金异常。防护方法

CSRF的漏洞核心问题在于：浏览器分不清一个请求是用户主动发起的，还是防护方法被恶意页面诱导发起的。Cookie会自动附加在每个同域请求上，漏洞这本来是防护方法方便用户免登录的设计，却成了攻击者的漏洞武器。防护思路其实就一条——让服务器能区分"用户真的想干这件事"和"浏览器碰巧发了这个请求"。

最经典的防护手段是CSRF Token。服务器在渲染表单时生成一个随机字符串，存在session里，同时放进隐藏字段。提交时，服务器比对表单里的token和session里的token是否一致。攻击者无法读取同源策略保护的页面内容，自然拿不到这个token。但这招有个坑：如果你的站点存在XSS漏洞，token会被窃取，防护就形同虚设。所以CSRF Token不是万能的，它只是纵深防御的一环。

另一种思路是校验请求头中的Origin或Referer字段。简单说，服务器检查请求来源域名是不是自己的。如果是跨域请求，直接拒绝。这个方法实现成本极低，但有个现实问题——有些浏览器或代理会去掉Referer头，导致误伤正常用户。我见过不少团队因为这个原因放弃Referer校验，转而用更复杂的Token方案。其实两者不冲突，可以组合使用：Origin校验做第一道关卡，Token做第二道。

还有一个容易被忽视的细节——敏感操作应该用POST而不是GET。很多开发图省事，把删除、修改操作写成GET接口。攻击者只需构造一个链接，诱导用户点击，请求就发出去了。就算你加了Token，Token放在URL里也可能通过浏览器历史记录、日志泄露出去。所以，接口设计上就该强制POST，配合Token放在请求体里。

再说说SameSite Cookie属性。这是浏览器层面的防护，设置SameSite=Lax或Strict后，跨站请求就不会携带Cookie。Lax模式下，GET请求的顶层导航仍会带Cookie，所以对安全要求极高的操作还得靠Token兜底。这个属性用起来很简单，但要注意兼容老版本浏览器——它们不认识这个属性，会默认当作None处理。部署时要做好降级方案。

我个人的习惯是，新项目直接上双保险：SameSite=Lax加上每个请求独立的Token。旧项目则优先补Origin校验，因为改动最小，能快速堵住漏洞。Token生成要用密码学安全的随机数，别用Math.random()，那个可预测。

最后提个实战经验——别把Token放在localStorage里。一旦XSS注入脚本，localStorage里的所有Token都能被读取。放在内存变量里更好，页面刷新后重新获取。虽然用户体验稍差，但安全性和便利性向来此消彼长。你得根据业务风险等级做权衡，没有银弹。