CSRF
是利用用户的身份，一般是构造链接让用户点击，获取用户的cookie之后，发送post或get请求，实现操作后台数据的目的
Cookie保持机制
Session Cookie，浏览器不关闭则不失效 本地Cookie,设定时间，时间过期之后才失效
CSRF几种攻击方式
*HTML CSRF* 可以发起get请求的标签
<link href = ' ' >
<img src = ' ' >
<frame src = ' '>
<script scr = ' '>
<videb src = ' '>
Background:url( ' ')
*JSON Hi Jacking* 够着自定义回调函数
<script>
function hi(data) { console.log(data) };
</script>
<script src = ' http:// www.a.com/json? callback = hi'>
*Flash CSRF* 通过Flash来实现跨域请求
防御方法
通过验证码防御 检查请求来源 ：每个请求都带有一个Referer ,Referer表示发生请求之前是在哪个页面，可以对Refer进行判断是否同域 添加请求参数token
