1. 什么是CSRF技术
CSRF(Cross-Site Request Forgery)，跨站请求伪造，是一种常见的网络攻击方式。攻击者利用用户已经登录了某个受信任网站的凭证，在用户不知情的情况下，发起非法请求。这种攻击方式常常用来执行危害性较大的操作，比如修改用户密码、添加管理员等。
2. CSRF攻击的原理
CSRF攻击的原理是利用网站没有对请求的来源做校验的漏洞。正常情况下，用户登录后，服务器会生成一个唯一的会话标识(Session ID)，并放置于用户的浏览器中，每次请求都会带上这个会话标识进行校验。然而，对于跨站请求伪造攻击，攻击者可以通过某种方式欺骗用户，让用户的浏览器发送一个非法请求，但请求中会携带正确的会话标识。
3. ThinkPHP6中的CSRF保护
为了防护CSRF攻击，ThinkPHP6提供了内置的CSRF保护机制。开启CSRF保护后，系统会自动为每个表单生成一个隐藏字段，并在处理表单请求时进行校验，确保请求来源正确。
3.1 开启CSRF保护
要开启CSRF保护，只需要在应用的配置文件(config/app.php)中将'is_check_csrf' => false修改为'is_check_csrf' => true，如下所示：
'is_check_csrf' => true,
3.2 生成CSRF令牌
在表单页面中，可以通过csrf_token()函数生成一个CSRF令牌，并将其放置于表单中的隐藏字段中。
<form action="" method="post">
<input type="hidden" name="__token__" value="<?php echo csrf_token(); ?>">
<!-- 其他表单字段 -->
</form>
以上代码中，csrf_token()函数会生成一个唯一的CSRF令牌，使用csrf_token()函数可以确保每次生成的令牌都是不同的。
3.3 校验CSRF令牌
在处理表单请求时，系统会自动校验请求中的CSRF令牌是否和会话中保存的一致，如果不一致则会抛出异常。
public function submitForm(Request $request)
{
$request->validate([
'__token__' => 'require|token',
]);
// 其他表单处理逻辑
}
以上代码中，validate方法用于验证表单字段，其中'__token__' => 'require|token'表示__token__字段是必需的，并且是一个有效的CSRF令牌。
4. 总结
通过开启ThinkPHP6中的CSRF保护，可以有效防护CSRF攻击。开发者可以在表单中生成并校验CSRF令牌，确保请求的来源正确。CSRF技术是保护Web应用安全的重要手段之一，开发者应该充分了解并使用这一技术。