CORSvsCSRF

CORS

CORS 是浏览器的安全机制，控制网页能否向不同域名发起 HTTP 请求。配置不当会导致安全漏洞（数据泄露）或开发体验问题（跨域报错）。

CSRF

CSRF 让攻击者利用用户已登录的身份，在用户不知情的情况下执行转账、改密码等敏感操作。用户只需点击一个恶意链接，攻击就完成了。

CORS

• 浏览器的同源策略扩展机制
• 通过 HTTP 头控制跨域访问
• 配置不当是常见安全和开发问题

CSRF

• 利用浏览器自动携带 Cookie 的机制
• CSRF Token 和 SameSite Cookie 是主要防御
• 现代框架大多内置 CSRF 防护

CORS

浏览器控制不同源之间 HTTP 请求访问权限的安全机制

CSRF

利用用户已认证的会话在其不知情的情况下向目标网站发送恶意请求的攻击

CORS

• 前后端分离架构的跨域配置
• API 的访问控制
• 第三方集成的安全策略

CSRF

• Web 应用安全测试
• 认证机制的安全评估
• 安全开发规范制定

CORS

CORS 基于 HTTP 响应头（Access-Control-Allow-Origin 等）工作。简单请求直接发送，复杂请求先发 OPTIONS 预检。常见错误：Access-Control-Allow-Origin: *（允许所有来源）配合 credentials 使用、未限制 Allow-Methods、预检缓存时间过长。正确做法是白名单指定允许的 Origin，按需开放 Methods 和 Headers。

CSRF

CSRF 利用浏览器在发送请求时自动携带目标站点 Cookie 的机制。攻击者构造一个恶意页面，当已登录目标站点的用户访问该页面时，浏览器会自动带上 Cookie 发送请求，服务器无法区分这是用户主动操作还是被诱骗的。防御方法包括 CSRF Token、SameSite Cookie 属性、以及验证 Referer/Origin 头。现代 Web 框架（Next.js、Django）大多内置了 CSRF 防护。