我还遇到了其他有关CSRF的问题，但似乎没有人回答我的问题。感觉到CSRF的工作方式我缺少一些东西。
请在回答前阅读全文。
我一直在阅读跨站请求伪造以及用于缓解和防止它的各种策略（是的，我确实知道您应该使用很多伪造的伪造。）>
但是首先提到的主要方法是使用嵌入在网页中的Nonce / One Time Key作为隐藏的表单参数，所以这就是我要关注的。
明确地说，我确实理解了Nonce试图做的事情，但似乎也很容易击败。当然，如果攻击者能够将POST请求发送到另一个站点，他们还可以执行GET请求，从页面中刮取令牌并将其包括在他们的请求中？
我试图想出一种方法来查看它如何有用，但实际上我只是看不到它在实践中如何提供帮助。
明确地说，我并不是想说我更了解。再说一次，除非我缺少有关CSRF的知识，否则这似乎是一种有效的攻击，而且在提供预防CSRF攻击的指南的任何网站上都看不到它。
[请让我知道我错了。
谢谢！
我还遇到了其他有关CSRF的问题，但似乎没有人回答我的问题。感觉到CSRF的工作方式我缺少一些东西。请在...
CSRF与远程攻击者利用用户与网站的会话有关。
首先，一个la脚的例子。您与银行进行会话（登录）。登录后，攻击者会让您访问他的恶意网站。在恶意网站上，您单击一个很棒的链接以查看您真正想要的东西。但是，恶意网站将正确的数据发布到url上，以将资金转给攻击者。您不想这样做，而且您所使用的网站似乎与您的银行无关。银行网站仍然收到您的要求，将款项转给攻击者。之所以可行，是因为您已经与银行进行过会话，会话ID已存储在cookie中，并且无论用户单击何处，cookie都会根据目标url发送（请参见下文）。这是csrf的基本情况。