访问幂等
Ⅰ csrf攻击防范的方法有
CSRF（跨站请求伪造）攻击防范的方法主要包括以下几种：
1. **使用CSRF Token**：服务器在用户登录时生成一个随机的CSRF Token，并将其嵌入到用户的每个请求中。服务器在收到请求时，会验证Token的有效性，确保请求是由合法用户发出的。这种方法可以有效防止CSRF攻击，因为攻击者无法伪造有效的Token。
2. **Referer校验**：服务器可以检查请求头中的Referer字段，确认请求的来源是否合法。如果Referer字段的值与预期不符，服务器可以拒绝请求。但需要注意的是，Referer字段可以被篡改或禁用，因此这种方法不能单独使用，需要与其他措施结合。
3. **设置SameSite Cookie**：在Cookie中设置SameSite属性为Strict或Lax，以限制Cookie的跨站发送。Strict模式会完全禁止第三方Cookie的发送，而Lax模式则允许一些跨站请求携带Cookie，但会限制敏感操作的跨站访问。这种方法可以在一定程度上减少CSRF攻击的风险。
4. **使用安全的HTTP方法**：对于敏感操作，应使用POST、PUT、DELETE等非幂等方法，而不是GET方法。因为GET方法通常被设计为幂等的，即多次执行相同操作的结果相同，这增加了CSRF攻击的风险。
5. **实施双因素身份验证**：在敏感操作如转账、修改密码等场景中，除了密码外，还可以要求用户提供额外的验证因素，如手机验证码、指纹识别等。这增加了攻击者成功实施CSRF攻击的难度。
综上所述，防范CSRF攻击需要综合采用多种方法，以提高Web应用的安全性。
Ⅱ JAVA中Get和Post请求的区别收集整理
一 原理区别
一般在浏览器中输入网址访问资源都是通过GET方式；在FORM提交中，可以通过Method指定提交方式为GET或者POST，默认为GET提交
Http定义了与服务器交互的不同方法，最基本的方法有4种，分别是GET，POST，PUT，DELETE
URL全称是资源描述符，我们可以这样认为：一个URL地址，它用于描述一个网络上的资源，而HTTP中的GET，POST，PUT，DELETE就对应着对这个资源的查，改，增，删4个操作。到这里，大家应该有个大概的了解了，GET一般用于获取/查询资源信息，而POST一般用于更新资源信息(个人认为这是GET和POST的本质区别，也是协议设计者的本意，其它区别都是具体表现形式的差异)。
根据HTTP规范，GET用于信息获取，而且应该是安全的和幂等的。
1.所谓安全的意味着该操作用于获取信息而非修改信息。换句话说，GET请求一般不应产生副作用。就是说，它仅仅是获取资源信息，就像数据库查询一样，不会修改，增加数据，不会影响资源的状态。
* 注意：这里安全的含义仅仅是指是非修改信息。
2.幂等的意味着对同一URL的多个请求应该返回同样的结果。这里我再解释一下幂等这个概念：
幂等（idempotent、idempotence）是一个数学或计算机学概念，常见于抽象代数中。
幂等有以下几种定义：
对于单目运算，如果一个运算对于在范围内的所有的一个数多次进行该运算所得的结果和进行一次该运算所得的结果是一样的，那么我们就称该运算是幂等的。 比如绝对值运算就是一个例子，在实数集中，有abs(a)=abs(abs(a))。
对于双目运算，则要求当参与运算的两个值是等值的情况下，如果满足运算结果与参与运算的两个值相等，则称该运算幂等，如求两个数的最大值的函数，有在实数集中幂等，即max(x,x)=x。
看完上述解释后，应该可以理解GET幂等的含义了。
但在实际应用中，以上2条规定并没有这么严格。引用别人文章的例子：比如，新闻站点的头版不断更新。虽然第二次请求会返回不同的一批新闻，该操作仍然被认为是安全的和幂等的，因为它总是返回当前的新闻。从根本上说，如果目标是当用户打开一个链接时，他可以确信从自身的角度来看没有改变资源即可。
根据HTTP规范，POST表示可能修改变服务器上的资源的请求。继续引用上面的例子：还是新闻以网站为例，读者对新闻发表自己的评论应该通过POST实现，因为在评论提交后站点的资源已经不同了，或者说资源被修改了。
上面大概说了一下HTTP规范中，GET和POST的一些原理性的问题。但在实际的做的时候，很多人却没有按照HTTP规范去做，导致这个问题的原因有很多，比如说：
1.很多人贪方便，更新资源时用了GET，因为用POST必须要到FORM（表单），这样会麻烦一点。
2.对资源的增，删，改，查操作，其实都可以通过GET/POST完成，不需要用到PUT和DELETE。
3.另外一个是，早期的但是Web MVC框架设计者们并没有有意识地将URL当作抽象的资源来看待和设计。还有一个较为严重的问题是传统的Web MVC框架基本上都只支持GET和POST两种HTTP方法，而不支持PUT和DELETE方法。
* 简单解释一下MVC：MVC本来是存在于Desktop程序中的，M是指数据模型，V是指用户界面，C则是控制器。使用MVC的目的是将M和V的实现代码分离，从而使同一个程序可以使用不同的表现形式。
以上3点典型地描述了老一套的风格（没有严格遵守HTTP规范），随着架构的发展，现在出现REST(Representational State Transfer)，一套支持HTTP规范的新风格，这里不多说了，可以参考《RESTful Web Services》。
二 表现形式区别
搞清了两者的原理区别，我们再来看一下他们实际应用中的区别：
为了理解两者在传输过程中的不同，我们先看一下HTTP协议的格式：
HTTP请求：
<requestline>//http请求行
<headers>//http请求消息报头
<blankline>//回车换行
[<request-body>]//http请求正文
在HTTP请求中，第一行必须是一个请求行（request line），用来说明请求类型、要访问的资源以及使用的HTTP版本。紧接着是一个首部（header）小节，用来说明服务器要使用的附加信息。在首部之后是一个空行，再此之后可以添加任意的其他数据[称之为主体（body）]。
GET与POST方法实例：
GET/books/?sex=man&name=ProfessionalHTTP/1.1
Host:www.wrox.com
User-Agent:Mozilla/5.0(Windows;U;WindowsNT5.1;en-US;rv:1.7.6)
Gecko/20050225Firefox/1.0.1
Connection:Keep-Alive
POST/HTTP/1.1
Host:www.wrox.com
User-Agent:Mozilla/5.0(Windows;U;WindowsNT5.1;en-US;rv:1.7.6)
Gecko/20050225Firefox/1.0.1
Content-Type:application/x-www-form-urlencoded
Content-Length:40
Connection:Keep-Alive
（----此处空一行----）
name=Professional%20Ajax&publisher=Wiley
有了以上对HTTP请求的了解和示例，我们再来看两种提交方式的区别：
（1）GET提交，请求的数据会附在URL之后（就是把数据放置在HTTP协议头中），以?分割URL和传输数据，多个参数用&连接；例 如：login.action?name=hyddd&password=idontknow&verify=%E4%BD%A0 %E5%A5%BD。如果数据是英文字母/数字，原样发送，如果是空格，转换为+，如果是中文/其他字符，则直接把字符串用BASE64加密，得出如： %E4%BD%A0%E5%A5%BD，其中％XX中的XX为该符号以16进制表示的ASCII。
POST提交：把提交的数据放置在是HTTP包的包体中。上文示例中红色字体标明的就是实际的传输数据
因此，GET提交的数据会在地址栏中显示出来，而POST提交，地址栏不会改变
(2)传输数据的大小：首先声明：HTTP协议没有对传输的数据大小进行限制，HTTP协议规范也没有对URL长度进行限制。
而在实际开发中存在的限制主要有：
GET:特定浏览器和服务器对URL长度有限制，例如 IE对URL长度的限制是2083字节(2K+35)。对于其他浏览器，如Netscape、FireFox等，理论上没有长度限制，其限制取决于操作系 统的支持。
因此对于GET提交时，传输数据就会受到URL长度的 限制。
POST:由于不是通过URL传值，理论上数据不受 限。但实际各个WEB服务器会规定对post提交数据大小进行限制，Apache、IIS6都有各自的配置。
(3)安全性：
POST的安全性要比GET的安全性高。注意：这里所说的安全性和上面GET提到的“安全”不是同个概念。上面 “安全”的含义仅仅是不作数据修 改，而这 里安全的含义是真正的Security的含义，比如：通过GET提交数据，用户名和密码将明文出现在URL上，因为(1)登录页面有可能被浏览器缓存， (2)其他人查看浏览器的历史纪录，那么别人就可以拿到你的账号和密码了，除此之外，使用GET提交数据还可能会造成Cross-site request forgery攻击
（4）Http get,post,soap协议都是在http上运行的
1）get：请求参数是作为一个key/value对的序列（查询字符串）附加到URL上的
查询字符串的长度受到web浏览器和web服务器的限制（如IE最多支持2048个字符），不适合传输大型数据集同时，它很不安全
2）post：请求参数是在http标题的一个不同部分（名为entity body）传输的，这一部分用来传输表单信息，因此必须将Content-type设置为:application/x-www-form- urlencoded。post设计用来支持web窗体上的用户字段，其参数也是作为key/value对传输。
但是：它不支持复杂数据类型，因为post没有定义传输数据结构的语义和规则。
3）soap：是http post的一个专用版本，遵循一种特殊的xml消息格式
Content-type设置为: text/xml 任何数据都可以xml化
三 HTTP响应
1．HTTP响应格式：
<statusline>//http响应状态行
<headers>//http响应消息报头
<blankline>//回车换行
[<response-body>]//http响应正文
在响应中唯一真正的区别在于第一行中用状态信息代替了请求信息。状态行（status line）通过提供一个状态码来说明所请求的资源情况。
HTTP响应实例：
HTTP/1.1200OKDate:Sat,31Dec200523:59:59GMTContent-Type:text/html;charset=ISO-8859-1Content-Length:122
＜html＞
＜head＞
＜title＞WroxHomepage＜/title＞
＜/head＞
＜body＞＜!--bodygoeshere--＞＜/body＞
＜/html＞
2．最常用的状态码有：
◆200(OK):找到了该资源，并且一切正常。
◆304(NOTMODIFIED):该资源在上次请求之后没有任何修改。这通常用于浏览器的缓存机制。
◆401(UNAUTHORIZED):客户端无权访问该资源。这通常会使得浏览器要求用户输入用户名和密码，以登录到服务器。
◆403(FORBIDDEN):客户端未能获得授权。这通常是在401之后输入了不正确的用户名或密码。
◆404(NOTFOUND):在指定的位置不存在所申请的资源.
四 完整示例
例子：
HTTPGET发送
GET/DEMOWebServices2.8/Service.asmx/CancelOrder?UserID=string&PWD=string&OrderConfirmation=stringHTTP/1.1
Host:api.efxnow.com
Response:
HTTP/1.1200OK
Content-Type:text/xml;charset=utf-8
Content-Length:length
<?xmlversion="1.0"encoding="utf-8"?>
<objPlaceOrderResponsexmlns="https://api.efxnow.com/webservices2.3">
<Success>boolean</Success>
<ErrorDescription>string</ErrorDescription>
<ErrorNumber>int</ErrorNumber>
<CustomerOrderReference>long</CustomerOrderReference>
<OrderConfirmation>string</OrderConfirmation>
<CustomerDealRef>string</CustomerDealRef>
</objPlaceOrderResponse>
Http Post 发送
POST/DEMOWebServices2.8/Service.asmx/CancelOrderHTTP/1.1
Host:api.efxnow.com
Content-Type:application/x-www-form-urlencoded
Content-Length:length
UserID=string&PWD=string&OrderConfirmation=string
Response:
HTTP/1.1200OK
Content-Type:text/xml;charset=utf-8
Content-Length:length
<?xmlversion="1.0"encoding="utf-8"?>
<objPlaceOrderResponsexmlns="https://api.efxnow.com/webservices2.3">
<Success>boolean</Success>
<ErrorDescription>string</ErrorDescription>
<ErrorNumber>int</ErrorNumber>
<CustomerOrderReference>long</CustomerOrderReference>
<OrderConfirmation>string</OrderConfirmation>
<CustomerDealRef>string</CustomerDealRef>
</objPlaceOrderResponse>
SOAP 1.2
发送
POST/DEMOWebServices2.8/Service.asmxHTTP/1.1
Host:api.efxnow.com
Content-Type:application/soap+xml;charset=utf-8
Content-Length:length
<?xmlversion="1.0"encoding="utf-8"?>
<soap12:Envelopexmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"xmlns:xsd="http://www.w3.org/2001/XMLSchema"xmlns:soap12="http://www.w3.org/2003/05/soap-envelope">
<soap12:Body>
<CancelOrderxmlns="https://api.efxnow.com/webservices2.3">
<UserID>string</UserID>
<PWD>string</PWD>
<OrderConfirmation>string</OrderConfirmation>
</CancelOrder>
</soap12:Body>
</soap12:Envelope>
Response:
HTTP/1.1200OK
Content-Type:application/soap+xml;charset=utf-8
Content-Length:length
<?xmlversion="1.0"encoding="utf-8"?>
<soap12:Envelopexmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"xmlns:xsd="http://www.w3.org/2001/XMLSchema"xmlns:soap12="http://www.w3.org/2003/05/soap-envelope">
<soap12:Body>
<CancelOrderResponsexmlns="https://api.efxnow.com/webservices2.3">
<CancelOrderResult>
<Success>boolean</Success>
<ErrorDescription>string</ErrorDescription>
<ErrorNumber>int</ErrorNumber>
<CustomerOrderReference>long</CustomerOrderReference>
<OrderConfirmation>string</OrderConfirmation>
<CustomerDealRef>string</CustomerDealRef>
</CancelOrderResult>
</CancelOrderResponse>
</soap12:Body>
</soap12:Envelope>
1. get是从服务器上获取数据，post是向服务器传送数据。 get 和 post只是一种传递数据的方式，get也可以把数据传到服务器，他们的本质都是发送请求和接收结果。只是组织格式和数据量上面有差别，http协议里面有介绍
2. get是把参数数据队列加到提交表单的ACTION属性所指的URL中，值和表单内各个字段一一对应，在URL中可以看到。post是通过HTTP post机制，将表单内各个字段与其内容放置在HTML HEADER内一起传送到ACTION属性所指的URL地址。用户看不到这个过程。
因为get设计成传输小数据，而且最好是不修改服务器的数据，所以浏览器一般都在地址栏里面可以看到，但post一般都用来传递大数据，或比较隐私的数据，所以在地址栏看不到，能不能看到不是协议规定，是浏览器规定的。
3. 对于get方式，服务器端用Request.QueryString获取变量的值，对于post方式，服务器端用Request.Form获取提交的数据。
没明白，怎么获得变量和你的服务器有关，和get或post无关，服务器都对这些请求做了封装
4. get传送的数据量较小，不能大于2KB。post传送的数据量较大，一般被默认为不受限制。但理论上，IIS4中最大量为80KB，IIS5中为100KB。
post基本没有限制，我想大家都上传过文件，都是用post方式的。只不过要修改form里面的那个type参数
5. get安全性非常低，post安全性较高。
如果没有加密，他们安全级别都是一样的，随便一个监听器都可以把所有的数据监听到，不信你自己下一个监听网络资源的软件，
Ⅲ nginx 304 not modified 怎样解决
你好，
HTTP304错误的详细解释NotModified客户端有缓冲的文档并发出了一个条件性的请求（一般是提供If-Modified-Since头表示客户只想比指定日期更新的文档）。服务器告诉客户，原来缓冲的文档还可以继续使用。如果客户端在请求一个文件的时候，发现自己缓存的文件有LastModified，那么在请求中会包含IfModifiedSince，这个时间就是缓存文件的LastModified。因此，如果请求中包含IfModifiedSince，就说明已经有缓存在客户端。只要判断这个时间和当前请求的文件的修改时间就可以确定是返回304还是200。
Ⅳ 细说Restful API之幂等性
幂等性原本是数学中的含义，表达的是N次变换与1次变换的结果相同。
而RESTFul API中的幂等性是指调用某个接口1次或N次，对所访问的资源产生的影响结果都是相同的，需要特别注意的是：这里幂等性指的是对资源产生的影响结果，而非调用HTTP请求的返回结果。
举个例子，RESTFul API中的GET方法是查询资源信息，不会对资源产生影响，所以它是符合幂等性的，但是每次调用GET方法返回的结果有可能不同（可能资源的某个属性在调用GET方法之前已经被其他方法修改了，例如在多次访问期间，接口返回对象的update_time字段被别的请求更新，但GET本身是幂等性的）。
实际上，在分布式架构中的API幂等性不仅仅针对RESTFul接口，而是对所有类型的接口适用，目的是为了确保调用1次或N次接口时对资源的影响结果都是相同的。
接口的幂等性确保了无论调用1次还是N次对资源的影响都是相同的，这在某些场合下是非常有用的。
举个业务场景：用户下单，银行从用户账户扣款。
有这样一个接口方法：pay(long account, int money)，该方法用于银行卡扣款支付，参数account为账户ID，money为需要扣除的钱数。
当用户从网页上点击支付按钮时，在该方法的实现逻辑中需要从指定账户中扣除对应的商品价钱。如果支付操作已经成功执行，但是响应消息因为某种原因未能及时返回给客户端，这时候给用户的体验是可能是未支付成功，如果此时再次点击支付按钮，那么将再一次执行该方法，结果可能会导致用户只买了一件商品却扣减了双份的钱，这当然是不合理的。整个流程如下图所示：
当然，就上述例子的场景，为了避免用户重复支付，是可以通过别的方式解决的，比如：分布式事务；或者根据支付状态提示给予用户进行提示等等。
但是，如果引入了分布式事务，那么将带来实现上的复杂性，而且会影响到接口性能；而采取提示信息的方式并不能百分之百确保用户不会重复支付，存在一定的风险。
而如果接口符合幂等性，即：对同一个订单无论是执行一次支付还是多次支付，在服务端都确保只会扣一次款，那么既不需要引入分布式事务的复杂性，也能从根本上解决重复支付的问题，这也就是接口符合幂等性的价值所在。
总而言之，接口符合幂等性在可以降低系统实现的复杂性，并能保证资源状态的一致性。
RESTFul风格的接口设计本质上使用的是HTTP协议的请求方法，因此，RESTFul接口方法的幂等性指的就是HTTP方法的幂等性。
常用的HTTP方法有：
那么，这些HTTP方法的幂等性又是什么样的呢？除了幂等性之外，HTTP方法的安全性是指不对资源产生修改。
如下是常用HTTP方法的幂等性和安全性总结：
从上述表格中可以看出，HTTP方法的幂等性和安全性并不是同一个概念，如下是对个各个方法的幂等性和安全性解释：
设计幂等性接口的关键在于保证接口不论是被调用1次还是N次，它对资源所产生的影响都是相同的。
从上述HTTP方法的幂等性总结中可以得知，HTTP协议的POST和PATCH方法都不是幂等性的（但是我们却经常会在RESTFul接口中使用到它们），那是否就意味中无法将POST和PATCH方法设计为幂等性接口了呢？答案显然是否定的。在上述例子中，可以将订单ID也作为方法参数之一，如：pay(long account, int money, long order)，这样在服务端确保一个订单只会被支付一次（订单号是全局唯一的），那么无论该方法被调用1次还是N次结果都是一样的，也就保证了接口的幂等性。当然，在哪些没有订单号的场景，可以为接口操作生成一个全局唯一的处理号ID，并把该处理号ID作为方法参数之一，这样在服务端确保一个处理号ID只会被执行一次就保证了接口的幂等性。
符合幂等性的接口调用流程描述如下图所示：
虽然说设计符合幂等性的接口在某些场合可以降低系统的复杂性（如：可以不用引入分布式事务），但是并非在所有场合的问题都能通过幂等性接口解决，在必要的时候依然需要引入分布式事务处理这样的框架。我们不要也不能把接口幂等性作为万能的解决办法，但是，我们在设计接口时尽量考虑符合幂等性处理是非常有价值的。
【参考】