CSRFvsIDOR
网络安全领域术语对比 — 快速理解两者的核心差异
CSRF
Cross-Site Request Forgery
跨站请求伪造 · 借你的手做坏事
IDOR
Insecure Direct Object Reference
不安全的直接对象引用 · 改个 ID 就能看别人的数据
概览对比
CSRF
CSRF 让攻击者利用用户已登录的身份，在用户不知情的情况下执行转账、改密码等敏感操作。用户只需点击一个恶意链接，攻击就完成了。
IDOR
IDOR 是最简单但最常见的权限漏洞——把 URL 中的 user_id=123 改成 user_id=124，就能看到别人的数据。Bug Bounty 中 IDOR 的报告量常年排名前三。
核心要点
CSRF
- 利用浏览器自动携带 Cookie 的机制
- CSRF Token 和 SameSite Cookie 是主要防御
- 现代框架大多内置 CSRF 防护
IDOR
- 最简单的漏洞类型之一，但危害可能很大
- 核心问题：缺少服务端权限校验
- Bug Bounty 中最常见的漏洞类型之一
正式定义
CSRF
利用用户已认证的会话在其不知情的情况下向目标网站发送恶意请求的攻击
IDOR
应用程序使用用户可控的标识符直接访问后端对象但未验证访问权限的安全漏洞
应用场景
CSRF
- Web 应用安全测试
- 认证机制的安全评估
- 安全开发规范制定
IDOR
- API 安全测试
- 权限模型的完整性验证
- Bug Bounty 漏洞挖掘
详细解读
CSRF
CSRF 利用浏览器在发送请求时自动携带目标站点 Cookie 的机制。攻击者构造一个恶意页面，当已登录目标站点的用户访问该页面时，浏览器会自动带上 Cookie 发送请求，服务器无法区分这是用户主动操作还是被诱骗的。防御方法包括 CSRF Token、SameSite Cookie 属性、以及验证 Referer/Origin 头。现代 Web 框架（Next.js、Django）大多内置了 CSRF 防护。
IDOR
IDOR 发生在应用程序使用用户可控的标识符（如 ID、文件名）直接访问后端对象，但未验证当前用户是否有权访问该对象。攻击者只需遍历或猜测标识符就能访问其他用户的数据。防御方法包括：服务端权限校验、使用不可预测的标识符（UUID）、以及基于会话的访问控制。IDOR 看似简单，但在大型应用中很容易遗漏，特别是在 API 端点和批量操作中。
快速对比
| 维度 | CSRF | IDOR |
|---|---|---|
| 类型 | 专业术语 | 专业术语 |
| 标签 | 攻击/渗透、应用安全 | 攻击/渗透、应用安全 |
| 热度 | 72 | 78 |