概念跨站请求伪造

CSRF

CSRF（跨站请求伪造）是一种 Web 安全漏洞，攻击者诱导用户在已认证的网站上执行非预期的操作。防御手段包括 SameSite cookie、CSRF token 等。

时间轴 (近 90 天)

10月14日

完整的安全测试还应覆盖认证绕过、越权访问、CSRF、敏感信息泄露等维度，需借助SAST、DAST等专用工具和人工渗透测试

待验证50%

10月13日

SameSite 属性无法防御子域被攻陷、同站内 XSS 发起的请求，也依赖浏览器正确实现，因此不能替代双提交 cookie 或同步器 token 模式。

待验证50%

10月12日

SameSite 属性是浏览器用于防御 CSRF 的 cookie 控制字段，取值主要有 Strict、Lax、None 三种。

待验证50%

完整的安全测试还应覆盖认证绕过、越权访问、CSRF、敏感信息泄露等维度，需借助SAST、DAST等专用工具和人工渗透测试

SameSite 属性无法防御子域被攻陷、同站内 XSS 发起的请求，也依赖浏览器正确实现，因此不能替代双提交 cookie 或同步器 token 模式。

SameSite 属性是浏览器用于防御 CSRF 的 cookie 控制字段，取值主要有 Strict、Lax、None 三种。