| 判断点 | 是否校验 CSRF Token 或同源标记 |
|---|---|
| 对象 | 表单、AJAX 接口、一键操作链接 |
| 边界 | 只验证到“受理/拒绝”，不实际造成业务变更 |
验证步骤
验证步骤
1. 选一个低影响的状态变更操作（如给自己加一个可撤销的标签）
2. 移除请求中的 Token/自定义头后重新提交
3. 观察服务端是否仍受理（对比正常请求）
4. 记录请求构造方式与受理结果，恢复测试数据修复视角：同步令牌（每会话/每表单）或双提交 Cookie；SameSite=Lax/Strict 可降低风险但不等于修复。
CSRF 验证方法
检查关键状态变更操作（改密、转账、加权限、绑定手机）是否仅依赖会话 Cookie 鉴权：无凭据的跨站请求能否被受理是判断核心。
易错点
- 只测 GET 表单，漏掉 JSON 接口的鉴权方式差异
- 用高影响操作做验证，造成真实业务副作用
数据来源与参考
- OWASP WSTG WSTG-SESS-05
- OWASP Cheat Sheet：CSRF Prevention