0

XMLHttpRequest использует Same Origin Policy (http://xmlhttprequest.ru/#security) То есть со страницы на site.com нельзя сделать XMLHttpRequest-запрос на another.com. Является ли это достаточной защитой от CSRF? Значит ли это, что CSRF посредством XMLHttpRequest невозможен?

Прочитал статью https://learn.javascript.ru/csrf и сложилось ощущение, что автор не прочитал спецификацию XMLHttpRequest, и из-за этого стал делать неправильные выводы.

1 ответ 1

0

CSRF работает при обычных (не XMLHttpRequest) запросах. Вы можете создать на своем сайте форму и отправлять с нее результаты на другой сайт.

Вот от таких атак и защищает CSRF-токен.

К тому же CORS работает на стороне браузера и если пользователь использует "плохой" браузер, то даже CORS не будет работать.

2
  • Это всё понятно. Интересовал CSRF именно с XMLHttpRequest.
    – Daryn K.
    9 апр 2017 в 20:58
  • тогда не понятно на основе чего у вас: и сложилось ощущение, что автор не прочитал спецификацию XMLHttpRequest? 9 апр 2017 в 21:02

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.