定义
利用还没有失效的身份信息，诱骗受害人点击恶意链接和代码，以他的身份完成对服务器的请求，执行操作
类型
GET:构造url,让他点就完了
POST：构造自动提交的表单，还是让他点
大致攻击流程
用户登录受信任网站A，并在本地生成cookie
在不登出A的情况下，访问危险网站B
执行B上的代码
寻找漏洞
检查数据包CSRFtoken,Auth,Referer参数（可以删除参数检测试试,看看还能不能提交陈工）
如何构造
bp可以生成较简单的csrf（还有其他工具）
注：比较特别的json格式包
（概括一下）
1.POSTbody要用json格式发送，用表单来表示很麻烦；2.Content-Type头需要设置为application/json。设置自定义Header需要使用XMLHttpRequests，而它还会向服务器端发送OPTIONS预检请求。
如何处理：1.json闭合，把=后面的数据补全
2. 通过XHR提交
参考文章
还在更新，可能会写一些挖洞的体会和学历经历之类的