编辑“︁PHP CSRF防护”︁（章节）

== 实际案例 ==

=== 银行转账场景 ===
假设有一个银行转账功能，没有CSRF防护的攻击流程：

1. 用户登录银行网站（bank.com）
2. 攻击者构造恶意页面：
<syntaxhighlight lang="html">
<img src="https://bank.com/transfer?to=attacker&amount=1000" width="0" height="0">
</syntaxhighlight>
3. 用户访问该页面时，自动发起转账请求

=== 防护后的解决方案 ===
实施CSRF令牌后：
* 表单必须包含有效令牌
* 服务器验证令牌有效性
* 攻击者无法获取或预测令牌