csrf（csrf和xss的区别）

CSRF攻击的原理：先登录受信任网站A，并在本地生成Cookie，然后在不登出A的情况下，访问危险网站B。

如果不满足以上两个条件中的一个，就不会受到CSRF的攻击。

Spring Security使用CsrfFilter 过滤器来解决跨站请求伪造（Cross-Site Request Forgery，CSRF）攻击，使用的模式是同步器令牌模式（Synchronizer token pattern，STP）。

STP 模式本意是每个请求都生成一个不同的、随机的、不可预测的token用于CSRF保护。

这种严格的模式CSRF保护能力很强。但是每请求必验给服务端增加了额外的负担，另外它也要求浏览器必须保持正确的事件顺序，从而会带来一些可用性上的问题（比如用户打开了多个Tab的情况）。所以Spring Security中把这种限制放宽到了每个session使用一个csrf token，并且仅针对会对服务器进行状态更新的HTTP动作：PATCH、POST、PUT、DELETE等。

Spring Security 开发实践-技术专栏从零开始详细介绍了Spring Security的工作原理和开发实践过程，包括认证、授权和常规攻击防御等等。