转账接口怎样识别请求确实来自用户主动操作

# 核心结论

转账接口不能把“浏览器携带了登录 Cookie”等同于“用户主动授权了这笔转账”。服务端应同时验证当前会话身份、账户与资源权限、抗 CSRF 证据、请求来源、近期身份确认以及与本次交易参数绑定的一次性挑战。对于金额、币种、收款方等关键字段，用户确认时看到的内容必须与服务端最终执行的内容一致；任何字段发生变化，都应使原确认失效。高风险操作还应具备幂等、限额、风控和审计能力。

# 底层机制

浏览器会按照 Cookie 的作用域和属性自动携带会话凭证。攻击页面虽然通常受同源策略限制，不能读取目标站点响应，却仍可能借助表单、导航等方式发送跨站请求。因此，CORS 或同源策略不能单独证明请求意图。转