1. csrf，完全不使用cookie是否就可以防御CSRF攻击？
首先可以明确的告诉你，完全禁用Cookie可以有效避免CSRF攻击，但是不能保证完全防御CSRF攻击。
什么是CSRF攻击？CSRF攻击是“跨站请求伪造”的英文单词缩写，它本质上是利用某种“漏洞”在用户已登录的应用上执行非本意（不知情）的操作，说得通俗点就是用户虽然登录了某个系统，但某个操作并不是用户自己发出的请求，而是攻击者代为发出的（冒充用户做了某个操作）。
CSRF攻击原理CSRF攻击其实是利用了Web系统对客户端浏览器的信任导致的（源于Web隐式身份验证机制），根源上还是Web应用系统对于请求没做严格校验。
常规CSRF攻击需要满足的条件1、客户端用户已登录Web应用并生成了Cookie存储在浏览器中；
2、该Cookie没有过期，而且用户在新窗口访问了发起攻击请求的网页。
禁用Cookie无法完全避免CSRF攻击Cookie只是一种会话机制，和服务器端的Session配合使用的。像现在的Token验证机制不会用到Cookie，但如果攻击者拿到了Token依旧可以发起CSRF攻击。所以说禁用Cookie只能最大限度避免CSRF攻击，但不能完全避免此类攻击。
CSRF防御建议CSRF攻击其实比较难防，但我们可以通过多种技术手段来规避此类攻击。
1、服务器端要验证请求来源
服务器端对于请求的Referer字段要做初步校验，如果是站外请求则拒绝。但是Referer请求头是可以伪造的，所以不能全信。
2、表单添加Token令牌验证
表单令牌每次生成都不相同，而且攻击者无法伪造，当服务端校验Token失败时则拒绝请求。
3、重要敏感操作需要二次验证
对于极其重要的操作需要二次验证，比如图形验证码、短信验证码等验证手段确保是用户本人发出的请求。
4、相关链接、表单提交地址动态生成
以上就是我的观点，对于这个问题大家是怎么看待的呢？欢迎在下方评论区交流 ~ 我是科技领域创作者，十年互联网从业经验，欢迎关注我了解更多科技知识！
2. token详解？
csrf全拼为Cross Site Request Forgery，译为跨站请求伪造。
CSRF指攻击者盗用了你的身份，以你的名义发送恶意请求。
包括：以你名义发送邮件，发消息，盗取你的账号，甚至于购买商品，虚拟货币转账…
造成的问题：个人隐私泄露以及财产安全。
防止CSRF攻击
在客户端向后端请求界面数据的时候，后端会往响应中的 cookie 中设置 csrf_token 的值
在 Form 表单中添加一个隐藏的的字段，值也是 csrf_token在用户点击提交的时候，会带上这两个值向后台发起请求
后端接受到请求，以会以下几件事件：
1.从 cookie中取出 csrf_token
2.从 表单数据中取出来隐藏的 csrf_token 的值
3.进行对比
如果比较之后两值一样，那么代表是正常的请求，如果没取到或者比较不一样，代表不是正常的请求，不执行下一步操作
3. csrf协议？
CSRF(Cross-site request forgery)跨站请求伪造，也被称为"One Click Attack"或者Session Riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。尽管听起来像跨站脚本(XSS)，但它与XSS非常不同，XSS利用站点内的信任用户，而CSRF则通过伪装成受信任用户的请求来利用受信任的网站。
与XSS攻击相比，CSRF攻击往往不大流行(因此对其进行防范的资源也相当稀少)和难以防范，所以被认为比XSS更具危险性。
