内容摘要：2018年夏天，某电商平台搞促销，安全工程师老周没去抢优惠券，反而盯着结算接口发呆。他往商品数量参数里塞了个负号，系统竟然返回了积分加倍的提示。这不是魔法，是跨站请求伪造——攻击者能让你的浏览器替他去

2018年夏天，跨站漏洞某电商平台搞促销，跨站漏洞安全工程师老周没去抢优惠券，跨站漏洞反而盯着结算接口发呆。跨站漏洞他往商品数量参数里塞了个负号，跨站漏洞系统竟然返回了积分加倍的跨站漏洞提示。这不是跨站漏洞魔法，是跨站漏洞跨站请求伪造——攻击者能让你的浏览器替他去买东西，而你毫不知情。跨站漏洞

跨站漏洞这词听着专业，跨站漏洞拆开看就俩字：信任。跨站漏洞网站信任了不该信任的跨站漏洞东西。比如你登录了银行网站，跨站漏洞浏览器里留着有效会话，跨站漏洞这时你逛到黑客的跨站漏洞论坛，帖子图片链接指向银行的转账接口。浏览器傻乎乎地带着你的身份去请求，银行一看是合法会话，钱就出去了。整个过程你只点了一下猫图片，甚至没点，页面自动加载就触发了。

这类漏洞分两种，一种叫存储型，黑客把恶意代码直接存在服务器上，谁访问谁中招。好比公共厕所的纸巾盒被人塞了刀片，后来者一抽就流血。另一种叫反射型，恶意链接即时生效，像骗子递给你张写着网址的小卡片，你输入信息就完了。DOM型更阴，它藏在网页的JavaScript里，连服务器都不经过，纯前端作案，排查起来像在干草堆里找针。

我见过最离谱的案例是某政府网站的表单提交功能。工作人员上传附件时，文件名参数没过滤，黑客构造了个特殊URL，管理员一点，后台就悄悄创建了个新账号。等发现时，那个账号已经能修改网站所有公告了。你说这算不算数字时代的特洛伊木马？

修复手段说穿了也简单——校验来源、加随机token、对敏感操作二次确认。但难的是开发者的思维惯性。我认识个小团队的CTO，他总说"我们系统小，没人会盯上"。结果第二年他们的用户数据就被拖库了，起因就是某个实习生写的搜索框没做转义，XSS脚本在后台跑了三个月。小不是借口，懒才是原罪。

有意思的是，跨站漏洞的攻防像猫鼠游戏。现在浏览器厂商搞了SameSite cookie属性，默认阻止跨站携带身份。黑客立刻转向用子域名劫持来绕过。道高一尺魔高一丈，安全这行永远在打地鼠。但换个角度看，每个漏洞被挖出来，都是互联网在流血中长出新的肌肉。

最后说个我自己的习惯。每次登录网银前，我都故意先开个无痕窗口，手动输网址，不点任何邮件里的链接。这不能根治问题，但至少能让大多数钓鱼链接失效。毕竟攻击者最喜欢的就是你图省事的那一下点击。