Security 为什么在POST请求中需要CSRF令牌？
我的理解是，CSRF可以防止攻击者使用Security 为什么在POST请求中需要CSRF令牌？,security,csrf,Security,Csrf,我的理解是，CSRF可以防止攻击者使用标记让受害者的浏览器发送将使用会话cookie进行身份验证的请求。既然总是使用GET请求而不是POST提交，那么为什么需要在POST请求中使用CSRF令牌呢 此外，攻击者在无法运行代码（即XSS攻击）的情况下无法在网页中提交表单，在这种情况下，他们可以绕过您的CSRF保护 已经做了一些进一步的调查： 攻击者有可能在自己的站点上托管一个提交到目标站点（您的站点）的。他们所需要做的就是让受害者提交这份表格，然后连同他们的cookie和潜在的身份验证一起提交 攻击
此外，攻击者在无法运行代码（即XSS攻击）的情况下无法在网页中提交表单，在这种情况下，他们可以绕过您的CSRF保护 已经做了一些进一步的调查： 攻击者有可能在自己的站点上托管一个提交到目标站点（您的站点）的
我认为a对于我的用例来说是一个更好的解决方案。已经做了一些进一步的调查： 攻击者有可能在自己的站点上托管一个提交到目标站点（您的站点）的
我认为对于我的用例来说，a是一个更好的解决方案。攻击者可以在自己的站点上托管表单，但它不要求用户提交表单。他们可以使用JavaScript来实现这一点：
document.forms[0].提交（）
此外，这里还有一个指向的链接。攻击者可以在自己的站点上托管表单，但不要求用户提交表单。他们可以使用JavaScript来实现这一点：
document.forms[0].提交（）
此外，这里还有一个指向跨站点请求伪造的链接。跨站点请求伪造是指一个站点（比如evil.example.com）可以强制访问用户向另一个站点（比如example.com）发出请求。这并不是真正强迫用户，因为通过表单提交或javascript嵌入一个可以发送（HTTP GET请求）或POST请求的图像并不是那么困难
因此，是的，CSRF是一个已证明的已知漏洞，您应该尽力防范。跨站点请求伪造是指一个站点（比如evil.example.com）可以强制访问用户向另一个站点（比如example.com）发出请求。这并不是真正强迫用户，因为通过表单提交或javascript嵌入一个可以发送（HTTP GET请求）或POST请求的图像并不是那么困难
因此，是的，CSRF是一个已证明的已知漏洞，您应该尽力防范。Form POST不遵守同一来源策略。他们可以在任何网站上托管该表单。我认为您认为CSRF令牌（仅）用于抵御
X-request-WithXM