CSRF（Cross-Site Request Forgery）攻击是一种常见的Web应用程序安全漏洞，它利用用户当前已身份认证的会话，通过欺骗用户在另一个站点上触发恶意请求，从而完成潜在的恶意操作。
CSRF攻击的原理是攻击者利用被攻击站点对用户的信任，通过构造伪造的请求，欺骗用户的浏览器向目标站点发送请求，从而实施未授权的操作，如修改用户信息、发起付款请求等。攻击的成功取决于用户已经在目标站点上进行了身份认证并保持了有效的会话。
为了防止CSRF攻击，可以采取以下几种常见的防御措施：
1. CSRF Token：通过在表单中添加一个CSRF Token，在提交表单请求时验证该Token的有效性。服务器在渲染页面时生成一个唯一的Token，并将其与用户会话相关联。在请求提交时，服务器验证该Token是否匹配，如果不匹配，则拒绝请求。
2. SameSite Cookie属性：使用SameSite Cookie属性限制Cookie的跨域发送，防止CSRF攻击利用用户浏览器中的Cookie信息。设置为Strict或Lax模式可以防止跨域发送Cookie。
3. 验证HTTP Referer头部：在服务器端验证请求的HTTP Referer头部，确保请求来源于合法的站点。但该方法可被绕过，不是完美的防御方法。
4. 双重认证：除了使用用户名和密码进行认证外，可以使用双重认证（如OTP、短信验证码等）来增加安全性，使攻击者难以获取有效的会话。
5. 配置CSRF防护：在Spring Security中，可以通过启用CSRF防护来防止CSRF攻击。可以使用`.csrf()`进行配置，并确保在Web应用程序中的所有请求中包含CSRF令牌。
```java
@Override
protected void configure(HttpSecurity http) throws Exception {
http
.csrf()
.csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse())
...
}
```
在上述示例中，通过`.csrf()`来启用CSRF防护，并使用CookieCsrfTokenRepository配置CSRF令牌的存储和验证。`withHttpOnlyFalse()`方法确保浏览器可以访问该CSRF令牌。
通过以上措施的结合使用，可以减少或消除CSRF攻击的风险，并提高Web应用程序的安全性。