前端开发必看：什么是SSRF攻击？如何防御？
SSRF攻击，即服务器端请求伪造，是一种利用目标服务器向内部网络发起攻击的漏洞，攻击者可以通过构造恶意请求向任意URL发起请求，进而实施控制。
1. SSRF攻击原理
SSRF攻击通常发生在Web应用程序中。攻击者能够通过URL参数、请求体中的输入等方式，从服务端攻击目标系统。
图1是一张示意图，展示了SSRF攻击的流程。
图1，SSRF攻击示意图
从图1中可以看到，攻击者发送了一个恶意请求，该请求包含有URL参数，目标站点接收到该请求后，便会请求URL参数中标识的资源，但是，实际上该请求是由攻击者构造发送的，被请求的资源可能并不是目标服务器想要访问的资源。
2. SSRF攻击危害
SSRF攻击的危害性非常的高，攻击者能够从目标服务器上发起任何请求，甚至可能导致对内部网络系统进行攻击，将服务器变成攻击者的跳板机。以下是SSRF攻击的危害：
2.1 窃取数据
攻击者可以通过servers、localhost等内部URL地址发送请求，窃取敏感信息。例如服务器上存储的密码等。
2.2 内部网络攻击
攻击者可以发送有毒请求到内部系统，改变网络设置，监视流量，逃避安全防御机制等等。
2.3 端口扫描等攻击
攻击者可以使用攻击程序，扫描目标服务器的网络服务，获取服务器的一些关键信息或者进行端口扫描、网络侦查等攻击。
3. 如何防御SSRF攻击
如何防范SSRF漏洞，需要保证高度警觉，同时推荐以下几个防范措施：
3.1 过滤协议
在实现请求方法的时候，需要过滤掉http、https外的请求。
3.2 过滤URL参数
在请求方法中，应该过滤掉URL参数。不应该让用户输入自定义的URL。
3.3 使用独立身份验证
在不依赖URL进行身份验证时，请使用独立的身份验证机制，例如token验证、会话验证。
3.4 请求白名单
建议可以使用请求白名单，来防范非法的请求。同时，对非法请求进行监控，及时发现并处理。
除了上述防范措施外，我们还可以使用阿里开源的JavaSSRF、CSP等安全框架，来防范SSRF安全漏洞。
综上所述，SSRF攻击的威胁非常的大。Web应用程序的设计者和开发者应该积极采取措施防范此类攻击。