①XSRF-TOKEN 这个防伪令牌，如果 Set-Cookie 时没指定 Domain，或者干脆设成了 `.example.com`，那它就等于被扔进了整个域名树的公共抽屉里——子域（比如 `pay.example.com`、`blog.example.com`、甚至 `evil.sub.example.com`）全都能顺手拿到它。 ②我们真拿 curl 试了：`curl -b "XSRF-TOKEN=xxx" -X POST 网页链接`，结果转账接口真就认了这个请求，没拦住。

CSRF Web安全 渗透测试