JWT全称 JSON Web Token，是一种紧凑的，URL安全的请求表示方式(定义见RFC7519)。

在【常见安全测试项目总结-1】这篇文章中，有提到通过CSRF攻击伪造用户请求。在学习的时候有想到既然有浏览器的同源策略，为什么还会有CSRF攻击呢？在我的记忆中，浏览器同源策略会阻止向非同源地址发送AJAX请求，在这种情况下，恶意网站伪造的用户请求是无法发送到目标站点的呀？经过进一步学习后发现：在同源策略下，浏览器发现跨域请求时，请求能发出去，服务端能收到请求并正常返回结果，只是结果被浏览器拦截了。看到这里发现自己对于跨域问题的理解还是有些肤浅，故又看了些文章写下了这篇笔记。

最近工作中接触到了一家安全公司出具的安全扫描报告，感觉其中所列的安全检查事项与常见漏洞比较齐全，故记录下以供之后学习。