什么是跨站请求伪造CSRF

 群主：  请各位粉丝支持爱豆一下，​为他投票吧 ​www.danger.com​​,
 放一张爱豆照片/为了我们爱豆请帮我们点一下下方广告

图片上加上了伪造的超链接，如 <img src=http://www.​ ​ bank​​.com/transfer?to=应援群主&money=100>

#前提需要在http、server中开启header下划线支持 underscores_in_headers on;否则获取到的header会默认忽略下划线。
#参考：http://nginx.org/en/docs/http/ngx_http_core_module.html#underscores_in_headers
location ~  .*\.(html|htm|gif|jpg|jpeg|bmp|png|ico|txt|js|css|woff|woff2|fbx|json|ttf)$ {        
   #参数解析：$http_x_xsrf_token对应的请求中的header名为X-XSRF-TOKEN，在nginx中自定义header使用$http_开头，此处一律使用小写
   if ($http_x_xsrf_token != ''){
        return 404;
   }
    root /web/html;
}