问题 首先，我是菜鸡，怀着学习的心态提问 xss 攻击者可以利用脚本读取浏览器的 cookie 信息发送到自己的服务器，然后加以利用，这一过程都是在用户登录的网站完成的，可以理解。 但是 csrf 攻击，是诱导已登录的用户点击钓鱼网站，这个过程已经不是同源的了，域名都不一样了，浏览器不会携带网站 A 的 cookie 信息到钓鱼网站 B ，那好像这也并不能构成信心泄漏，大佬解答一下 CSRF, cookie, 钓鱼, 菜鸡
我可以诱导你去访问我的网站，然后在我的网站发送一个请求你的网站的一个 GET&POST 请求，这个请求携带的是请求 URL 所在 origin 的 Cookie, 这个过程就是请求伪造。用户被欺骗用他自己的真实身份做了他不知道的事情。
