跨站请求伪造（英语：Cross-site request forgery），也被称为 one-click attack 或者 session riding，通常缩写为 CSRF 或者 XSRF， 是一种挟制用户在当前已登录的 Web应用程序上执行非本意的操作的攻击方法。跟跨网站脚本（XSS）相比，XSS 利用的是用户对指定网站的信任，CSRF 利用的是网站对用户网页浏览器的信任。

配置

egg 默认在 post 请求时要求配置 CSRF，提升网站安全性。
config/config.default.js

1
2
3
4
5
6
exports.security = {
  csrf: {
    // 配置关闭
    enable: false,
  },
};