token验证机制是防范csrf攻击的核心手段。其基本思路是服务器在用户访问页面时生成唯一、不可预测的token，嵌入到页面表单中，并保存在用户session中；当用户提交请求时，服务器校验表单中的token与session中的是否一致，防止攻击者伪造请求。实现步骤包括：1.生成token，使用加密安全的随机数方法；2.将token存入页面和会话，作为隐藏字段插入html表单并保存至session；3.提交时校验token，确保两者匹配；4.可选每次请求更新token以增强安全性。注意事项包括：不要将token放在cookie中传输，token生命周期不宜过长，区分get和post请求，ajax请求也需加token验证。其他补充防护手段有samesite cookie属性、双重提交cookie模式和referer头校验。
CSRF（跨站请求伪造）是一种常见的Web安全攻击方式，攻击者通过诱导用户点击恶意链接，利用用户在已登录网站的身份发起非自愿的请求。防范CSRF的核心手段之一就是使用Token验证机制。
什么是Token验证机制？
Token验证机制的基本思路是：服务器在用户访问需要保护的页面时生成一个唯一的、不可预测的Token，并将其嵌入到页面中（通常是表单中），当用户提交请求时，服务器会验证该Token是否合法。如果Token不匹配或缺失，就拒绝执行请求。
这种方式有效防止了跨站请求，因为攻击者无法轻易获取用户的Token值。
如何实现Token验证机制？
要实现Token验证机制，主要分为以下几个步骤：
生成Token
每次用户访问敏感操作页面（如修改密码、提交订单等）时，服务器应生成一个随机且唯一的Token。推荐使用加密安全的随机数生成方法，比如PHP中的random_bytes()、Python的secrets模块。将Token存入页面和会话
将生成的Token作为隐藏字段插入到HTML表单中，同时保存在用户的Session中，以便后续验证。提交时校验Token
当用户提交请求时，服务器从POST数据中读取Token，并与Session中保存的Token进行比对。只有两者一致时才处理请求，否则返回错误。每次请求更新Token（可选）
为了进一步增强安全性，可以在每次请求后更换Token，这样即使Token被截获，也只能使用一次。
举个例子：你在写一个用户修改资料的页面，在表单里加入了一个隐藏字段：
<input type="hidden" name="csrf_token" value="a1b2c3d4e5">
同时服务器把这个值保存在Session里。当用户提交表单时，检查传来的token是否和Session里的匹配。
常见误区和注意事项
不要把Token放在Cookie里传输
如果Token也通过Cookie发送，那么在存在XSS漏洞的情况下，攻击者仍可能窃取Token。建议只通过表单提交或AJAX请求体传递Token。Token生命周期不宜过长
Token应该随着页面刷新而更新，而不是长期不变。长时间使用的Token容易被猜测或重放攻击。区分GET和POST请求
GET请求通常用于获取数据，不应该引起状态变化。对于所有会修改状态的请求（如删除、提交、更新），都应该启用CSRF保护。AJAX请求也要加Token验证
不少人忽略了对AJAX请求的防护。可以在页面加载时将Token注入到JavaScript变量中，或者通过自定义HTTP头来传递Token。
其他补充防护手段
虽然Token机制是防御CSRF的主要手段，但还可以结合以下方式加强防护：
SameSite Cookie属性
设置Cookie的SameSite=Strict或Lax可以阻止浏览器在跨站请求中自动携带Cookie，从而降低CSRF风险。双重提交Cookie模式（Double Submit Cookie）
这种方式要求前端在请求头或参数中带上Token，同时服务器也将其设置为Cookie。服务器对比这两个值是否一致。适合无Session的场景，但不如服务端存储更安全。Referer头校验（谨慎使用）
虽然可以通过检查请求来源的Referer判断是否为跨站请求，但有些浏览器或代理会屏蔽Referer信息，可能导致误判。
基本上就这些，CSRF防护并不复杂，但很容易在细节上出错。只要在关键操作中加上Token验证，再配合一些额外策略，就能大大提升应用的安全性。
