CSRF:
跨站请求伪造
与XSS区别： XSS：利用用户对站点的信任 CSRF：利用站点对已经经过身份认证客户端的信任
CSRF原理(在用户非自愿、不知情的情况下提交请求)： 当client已经与server建立一个正常session，黑客发来一个针对该server修改密码的链接诱使client点击，此时如果server无条件接收该修改密码的请求则视为存在CSRF漏洞(此修改密码行为并非用户主动意愿)
解决方案：为在执行该敏感操作时server提前发出挑战，询问client是否为主观意愿
CSRF属于业务逻辑漏洞
1、对关键操作缺少确认机制(修改密码时的验证码也算一种确认机制)
2、自动扫描程序无法发现此类漏洞