请求伪造怎Kerbe？哎哟喂，这坑我帮你们踩过了！
兄弟们，你们知道吗？请求伪造这事儿，真的能把我气到摔键盘！
讲真,我最近在研究网络安全的时候，遇到了一个特别让人头大的东西——请求伪造，英文叫CSRF或者XSRF，跟那个Kerbe（Kerberos认证协议）凑一块儿，简直是灾难级别的组合！哎，你们别笑，这事儿真的不是闹着玩的。
啥是请求伪造？我举个栗子你们就懂了
想象一下啊,你正坐在网吧里打游戏，突然有个陌生妹子加你QQ，说想跟你视频聊天，你高兴坏了，点开她发的链接，结果呢？你的账号密码就被偷走了！这，就是请求伪造的套路之一！
具体到技术层面吧,就是黑客通过伪造你的身份，向服务器发送一些你根本没想过的请求，比如你刚登录淘宝，黑客就利用你浏览器的“记忆功能”，伪造一个“删除订单”或者“修改密码”的请求发过去，服务器一看，哟，这不是合法用户吗？通过！然后你的账户就遭殃了，哎呦喂，想想都后怕！
Kerbe又是啥？跟请求伪造有什么关系？
Kerbe其实就是Kerberos认证协议的昵称，这个协议本来是挺厉害的一个安全机制，用来在网络环境中验证用户身份的，但是！我发现很多小白对它有个误解，就觉得用了Kerbe就万事大吉了，唉，太天真了！
Kerbe确实能做身份认证,但它解决的是“你是谁”的问题，而请求伪造绕过的恰恰是这个认证环节！黑客根本不需要知道你是谁，直接利用你已有的登录状态发起恶意请求，所以就算你有Kerbe防护，该中招还是得中招，这不气人吗？
我亲身经历的一个惨痛教训
上个月,我自己搭了个个人博客网站，用了Kerbe做用户认证，自以为安全得很，结果呢？有天收到一个朋友的私信，说我的博客发了很多垃圾广告！我赶紧登录后台一看，好家伙，全是些乱七八糟的文章被“我”发布了！
我当时就懵了,明明我有Kerbe认证啊，怎么还能被攻击？后来一查才知道，是黑客利用了我后台的请求伪造漏洞，通过我的浏览器Cookie直接伪造了发布请求，唉，我真的是欲哭无泪啊！你们说，这不就是Kerbe跟我开的一个玩笑吗？
咋防？我的经验分享给你们
第一,别完全信任Kerbe，它只是网络安全拼图里的一块，你得加上验证码、二次验证，最好再配置同源检测，确保只接受来自你自己网站的请求。
第二,重要操作一定要有确认机制，比如修改密码、转账这种关键操作，一定要让用户主动确认一下，而不是像我现在这样，被人一伪造就全盘皆输。
第三,就是不要太依赖“浏览器自动代发请求”这个特性，你要给每个表单加上随机token，让黑客不能轻易猜出你的请求格式，哎，这些说多了都是泪啊！
最后唠两句心里话
网络安全这条路啊,真的是步步惊心，尤其这个请求伪造问题，Kerbe虽然是个好帮手，但也不能掉以轻心，我写这篇文章呢，就是想让你们吸取我的教训，别像我一样等到被攻击了才追悔莫及。
反正啊,我现在每次看到“请求伪造”这四个字，心里就是一激灵，希望你们也别像我开始那样轻视它，网络安全无小事，多留个心眼总是好的，你说对不？
行了,废话不多说，我得去加固我的网站防护了，你们也要记得多学习、多实践，别等到哭的时候才后悔当初没重视！哎！
