使用JDBC直连数据库的应用是否会遭受CSRF攻击？

• 先澄清核心误解：浏览器无法直接通过JDBC连接数据库，JDBC是Java后端专属的数据库访问API。你描述的“点击删除按钮通过JDBC删除数据”，实际流程必然是：前端点击按钮后发送HTTP请求到你的Java后端（比如Servlet/Struts Action），后端再通过JDBC执行数据库删除操作。

• 针对实际的HTTP触发流程：这种场景完全可能遭受CSRF攻击。CSRF的核心是攻击者诱导已登录的用户在浏览器中发起未授权的HTTP请求到你的后端服务。如果你的删除接口（接收前端HTTP请求的后端端点）没有做CSRF防护（比如未验证CSRF Token、未检查请求的Referer/Origin），攻击者就可以构造恶意页面，通过表单自动提交、图片加载等方式，让用户在不知情的情况下发送删除请求，后端会误以为是合法请求并执行JDBC删除操作。

• 极端假设场景（无实际部署意义）：如果真的存在某种方式让前端直接使用JDBC（这意味着你把数据库的地址、账号、密码都暴露给了前端，属于严重的设计漏洞），这种情况下不会触发CSRF攻击。因为CSRF是针对HTTP/HTTPS协议的攻击，浏览器本身不支持JDBC协议，跨站页面也无法诱导浏览器发起JDBC连接（受同源策略限制，且JDBC不是浏览器的标准网络协议）。但这种场景的安全风险远大于CSRF，数据库会直接暴露给所有用户，毫无安全性可言。

内容的提问来源于stack exchange，提问作者Han Nguyen