| 令牌层 | Token 绑定会话且服务端校验 |
|---|---|
| Cookie 层 | SameSite=Lax/Strict；敏感操作避免 None |
| 业务层 | 高风险操作要求重认证或验证码 |
核查清单
核查清单
所有 POST/PUT/DELETE 接口是否校验 Token（含批量接口与旧版接口）
Token 是否与会话绑定、是否可预测、是否每次会话轮换
Cookie SameSite 属性核查（含子域与第三方集成场景）接口改造后常遗漏历史版本与内部调用路径，逐条对照接口清单核查。
CSRF 防护措施核查
核查防护三层：同步令牌、SameSite Cookie 属性、关键操作二次确认；逐项确认是否覆盖全部状态变更接口。
易错点
- 只保护主站表单，API 与旧版接口遗漏
- SameSite=None 与宽松 CORS 组合反而扩大风险
数据来源与参考
- OWASP CSRF Prevention Cheat Sheet
- RFC 6265bis（SameSite）