开发者不实现CSRF token且无安全头时的CSRF漏洞缓解技术有哪些

以下措施均基于应用业务逻辑实现，不依赖CSRF Token机制，也无需配置任何浏览器侧安全头：

• 敏感操作强制二次身份校验：所有涉及资金变动、账号信息修改、权限调整的高危操作，要求用户主动提交操作密码、短信/邮箱验证码、动态口令等本人专属的校验信息，攻击者无法跨站获取到这些用户私有信息，无法构造合法的攻击请求。
• 所有变更类操作仅允许通过POST接口提交：禁止用GET请求处理任何写入类业务逻辑，GET请求可通过图片URL、超链接直接触发，攻击成本极低，仅开放POST接口承载敏感操作可大幅降低攻击面。
• 接口增加业务上下文校验：敏感接口要求传入当前登录用户的专属业务参数，例如修改收货地址接口要求同步传入用户已绑定的原有地址ID，修改个人信息接口要求传入注册手机号后四位等，这些参数仅用户本人在业务站点内可获取，攻击者无法跨站拿到不同用户的个性化参数，无法构造有效请求。
• 敏感操作增加交互校验：提交敏感操作前要求用户完成行为验证码校验（滑块、文字点选等），验证码与当前用户会话绑定，且必须手动交互完成，攻击者无法通过自动发起的跨站请求绕过该校验。
• 限制敏感请求的有效周期：要求敏感操作的请求生成与提交的时间间隔不超过5分钟，同时禁止相同参数的重复提交，大幅缩小攻击者构造的CSRF请求的可用时间窗口，提升攻击成本。

内容的提问来源于stack exchange，提问作者Shikhar Gupta