0

XMLHttpRequest использует Same Origin Policy (http://xmlhttprequest.ru/#security) То есть со страницы на site.com нельзя сделать XMLHttpRequest-запрос на another.com. Является ли это достаточной защитой от CSRF? Значит ли это, что CSRF посредством XMLHttpRequest невозможен?

Прочитал статью https://learn.javascript.ru/csrf и сложилось ощущение, что автор не прочитал спецификацию XMLHttpRequest, и из-за этого стал делать неправильные выводы.

1 ответ 1

0

CSRF работает при обычных (не XMLHttpRequest) запросах. Вы можете создать на своем сайте форму и отправлять с нее результаты на другой сайт.

Вот от таких атак и защищает CSRF-токен.

К тому же CORS работает на стороне браузера и если пользователь использует "плохой" браузер, то даже CORS не будет работать.

2
  • Это всё понятно. Интересовал CSRF именно с XMLHttpRequest.
    – Daryn K.
    Commented 9 апр. 2017 в 20:58
  • тогда не понятно на основе чего у вас: и сложилось ощущение, что автор не прочитал спецификацию XMLHttpRequest? Commented 9 апр. 2017 в 21:02

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.