高风险操作引入二次确认后，怎样证明请求具有用户意图而非仅持有登录态？

# 核心结论

高风险操作中的二次确认必须证明用户确认了“这一次、这些关键参数、在限定时间内”的操作，而不能只证明请求持有登录态或完成过某种验证码。转账、修改密码、绑定设备等流程应组合验证当前会话、抗 CSRF 令牌、可信来源、近期身份认证、一次性业务挑战和服务端授权，并把收款方、金额、币种、目标设备或权限范围等关键事实绑定到挑战。最终执行时只要参数变化、挑战过期或已经使用，就必须拒绝并要求重新确认。

# 底层机制

浏览器可能自动携带符合 Domain、Path、Secure 和 SameSite 规则的 Cookie。攻击站点即使不能读取目标响应，也可能诱导浏览器发送状态变更请求，所以同源策略和