XSRF跨站为场景：
我在买东西，喜欢某个商品。 商品id为100的收费接口是xxx.com/pay吗？ 虽然id=100，但没有任何验证我是攻击者，我喜欢一个商品。 id为200 我现在想干嘛呢？现在想让你去给我买。怎么办呢？
我给你发电子邮件。 邮件标题很吸引人，但邮件正文中是否隐藏了img src=xxx.com/pay？ id=200//(id成为攻击者的商品)查看邮件，id为200的商品为什么会这样呢？
重要原因：你现在在买东西。 你一定登录了一个叫.com的网站。 登录这个网站后有用户信息。 是否要通过电子邮件发送img src=xxx.com/pay？ 以id=200 /图像访问时，其实你或者在你的浏览器访问时，无论你用什么域名访问，只要是在这个img中，就可以访问xxx.com/pay吗？ id=200这个网址的时候，和你的用户信息一起带走了。
为什么呢会把用户信息带过去了呢？
你已经可以在这个网站上注册Img发送的请求并跨越域，所以说你把你的信息带走了。 信息是指把Cookie (重要)带走之后。 因为你已经通过用户认证后就可以买了。 至于你是否给我买了这个商品，这不重要。 至少你的钱已经花了。 在后台，你可能以为你给了你买的这个商品，这个商品，但你不太喜欢这个商品，或者你以为是自己买的。 钱已经花掉了。 至少后台可以为购物网站创造多少销售额。 所以，这就是跨站点请求的例子(现在很少见) XSRF的预防) post接口(img和其他东西无法攻击。 用开机自检建立跨域很麻烦，所以要用开机自检建立跨域，需要服务器端支持。 服务器端不支持不行) )增加密码、邮件验证码等验证