如果满足以下条件，这可能成为CSRF的示例：

• 该链接已获取 （<img>例如，通过标签）：伪造
• 来自另一个站点：跨站点

例如，如果我可以将此<img>标签注入stackoverflow的HTML源代码中
（并且我可以，因为允许一个人<img>在他的帖子中使用标签）：

<img src="http://mysite.com/vote/30" />

您只需为该项目投票；-)

通常使用的解决方案是将寿命有限的令牌放置在URL中，并在提取URL时检查此令牌是否仍然有效。

基本思想是：

• 生成页面时：
  • 生成唯一令牌
  • 将其存储在用户的会话中
  • 并将其放在页面的链接中-看起来像这样： http://mysite.com/vote/30?token=AZERTYUHQNWGST
• 调用投票页面时：
  • 检查令牌是否存在于URL中
  • 检查它是否存在于用户会话中
  • 如果不是=>不要注册投票

这里的想法是：

• 代币寿命不长，很难猜测
• 这意味着您的 攻击者 ：
  • 只有几分钟的窗口，在此期间他的注射将有效
  • 将不得不善于猜测^^
  • 将必须为每个用户生成一个不同的页面。

另外，请注意，用户离开您的网站后，其会话保持活动状态的时间越短，访问该不良网站时该会话仍然有效的风险就越小。

但是在这里，您必须在安全性和用户友好性之间进行选择。

另一个想法 （虽然不是很安全，但是对伙计们的帮助不会知道如何强制执行POST请求） 是仅在人们投票时才接受POST请求：

• 浏览器正在发送GET请求以插入标记
• 无论如何，由于此网址正在修改某些数据，因此它不应与GET一起使用，而只能与POST一起使用

但是请注意，这并不是绝对安全的 ：（可能是？） 可以使用一些Javascript强制/伪造POST请求。