CSRF（跨站请求伪造）攻击利用已认证用户的信任状态向服务器发送恶意请求，能导致数据泄露、账户劫持等严重问题。防御CSRF的关键策略之一是使用token、将token保存在服务器的session中、在客户端获得并使用这个token。当服务器生成了CSRF token后，通常会在页面加载时将其嵌入表单中或通过某些机制传递至客户端（比如设置在HTTP头部中）。客户端在发送请求时，需要从这些位置读取到token，将其作为请求的一部分发送给服务器，服务器随后验证这个token确保请求的合法性。
一、CSRF TOKEN生成与发送
服务器端Token生成
在用户会话初始化时，服务器应生成一个随机的CSRF token。通常，此token与用户的会话ID相关联并储存在服务器的session存储系统中，以保证它的唯一性和隐秘性。
发送Token至客户端
发送给客户端的最常见方式是通过HTML表单的隐藏字段。服务端在生成表单页时，将token放入表单的隐藏字段中，确保每次表单提交时都携带token。
二、TOKEN在客户端的获取和使用
在表单中获取Token
客户端在填写表单并提交时，由于表单中已经嵌入了token字段，这个token会自动包含在POST数据中提交给服务端。
通过JavaScript获取Token
如果是在单页面应用（SPA）或者需要通过AJAX发送请求的场景下，可以使用JavaScript在页面加载时获取并存储token，通常这可以通过执行一个对API的调用完成，或者直接从Meta标签或自定义的HTTP响应头获取token。
三、AJAX请求与CSRF TOKEN
在AJAX中使用Token
对于AJAX请求，客户端脚本需要从存储token的地方（如HTML元素、浏览器存储）读取token，并将它加入到请求头（如X-CSRF-Token）或请求体中。
服务器端Token验证
当服务器收到请求时，会从相应的部分中提取token，并与服务器session中存储的token进行比较，以确保请求的合法性。
四、TOKEN刷新与安全性
Token的刷新
在某些情况下，为了防止token被截获并被重复使用，需要定期刷新token。新token的生成和旧token的废除必须同步进行，确保用户的正常操作不会受到影响。
Token安全性措施
为确保安全性，需要加强token本身的安全性，比如使用足够复杂的token生成算法，防止被预测。同时，传输过程中确保HTTP连接安全（如使用HTTPS）。
五、TOKEN与第三方服务
处理第三方服务
在涉及跨域请求或嵌入第三方服务的情况下，如何安全地管理CSRF token是一个挑战。必须确保token的传输和验证过程不被第三方服务滥用。
信任列表和同源策略
一种常见的做法是使用信任列表和同源策略，在服务端进行验证，仅允许来自信任的源的请求携带有效的CSRF token。
通过以上的措施，可以大大增强Web应用的安全性，防御潜在的CSRF攻击。当然，安全是多层次、多维度的，需要配合其他安全策略和最佳实践，共同为Web应用构建坚实的安全防线。
相关问答FAQs：
1. 什么是CSRF防御？为什么需要在服务器session中保存token？客户端如何获取这个token？
CSRF（Cross-Site Request Forgery）是一种常见的网络安全攻击，攻击者通过伪造用户的身份执行恶意请求。为了防御CSRF攻击，我们可以在服务器session中保存一个token，客户端请求时需要提供这个token来验证。
当用户登录系统时，服务器会生成一个随机的token并存储在用户的会话（session）中。当客户端请求需要进行敏感操作的页面时，服务器会将该token生成一个隐藏的表单域或者放入请求标头中，并返回给客户端。客户端在进行该操作时，就需要携带这个token来验证。
2. CSRF防御中，为什么需要将token保存在服务器session中？有没有其他的方式来保存token呢？客户端如何从服务器获取token？
将token保存在服务器session中的原因有两个：一是为了确保token的安全性，避免被恶意用户获取；二是因为session是与用户身份绑定的，可以保证每个用户都有唯一的token。
当客户端登录成功后，服务器会将生成的token保存在该用户对应的session中。客户端可以通过发送特定请求来获取该token。比如可以发送一个GET请求获取某个专门用来提供token的API接口，这个接口会验证用户的登录状态，然后返回对应用户的token。
3. 除了服务器session，还有其他地方可以存储CSRF token吗？客户端如何获得这个token？
除了服务器session，还有一种常见的方式是将CSRF token存储在HTTP Only的cookie中。这样做的好处是，客户端无法通过JavaScript代码获取token，避免了XSS（Cross-Site Scripting）攻击。当客户端需要获取token时，可以通过JavaScript代码读取cookie中的token值。
在生成token时，服务器端将token设置为HTTP Only的cookie，这样浏览器会自动将token发送给服务器。客户端可以通过document.cookie或者其他相关方法来获取cookie中的token值。然后在每次发送请求时，将该token放入请求的表单域或者请求标头中，以便服务器验证。
