表单操作中的 CSRF 防护
了解 SvelteKit 如何在表单操作中防止跨站请求伪造
表单操作中的 CSRF 防护 是 CoddyKit 上的免费 Sveltejs Academy 课时。 这是第 1 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Sveltejs Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Sveltejs Academy 课程共包含 4 节课。
什么是 CSRF
跨站请求伪造会诱骗已通过身份验证的用户浏览器，向您的网站提交伪造请求。
SvelteKit 默认行为
SvelteKit 的表单操作默认会阻止来自跨源的请求，从而降低 CSRF 风险。
工作原理
SvelteKit 会针对会改变状态的方法，将 Origin 标头与主机进行比对。
SameSite Cookie
为 Cookie 设置 sameSite: "lax"，作为纵深防御措施。
谨慎禁用
您可以在 svelte.config.js 中通过 csrf: { checkOrigin: false } 禁用 CSRF 防护。但几乎不建议这样做。
外部表单提交
如果您必须接受跨来源提交，请改用 API 令牌。
测试 CSRF
尝试从无关的来源（例如 JSFiddle）向您的表单提交数据——SvelteKit 应该会拒绝该请求。
GET 方法
默认情况下，GET 请求不受 CSRF 保护；请永远不要使用 GET 来改变状态。
组合防御措施
结合使用 SameSite Cookie、Origin 检查和身份验证令牌，构建分层安全防护。
常见错误
将 JWT 存储在 localStorage 中，并在 fetch 中读取它，会使 SameSite 防护失效。
审计轨迹
记录可疑的跨来源尝试，以便及早发现攻击。
快速检查
SvelteKit 默认会针对 CSRF 检查什么？
回顾
SvelteKit 默认会阻止跨来源的 POST 请求。请结合 SameSite Cookie 使用，并且不要轻易禁用防护。
常见问题解答
「表单操作中的 CSRF 防护」课时是免费的吗？
是的 — 「表单操作中的 CSRF 防护」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Sveltejs Academy 课程的其余内容，请升级到 CoddyKit PRO。 Sveltejs Academy 课程共包含 4 节课。
「表单操作中的 CSRF 防护」这节课中我会学到什么？
了解 SvelteKit 如何在表单操作中防止跨站请求伪造 你通过在浏览器中直接运行的动手代码来练习 Sveltejs Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Sveltejs Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Sveltejs Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 1 节课，共 4 节。
「表单操作中的 CSRF 防护」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Sveltejs Academy 课中编写并运行代码吗？
能。每节 Sveltejs Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。