XMLHttpRequest использует Same Origin Policy (http://xmlhttprequest.ru/#security) То есть со страницы на site.com
нельзя сделать XMLHttpRequest-запрос на another.com
. Является ли это достаточной защитой от CSRF? Значит ли это, что CSRF посредством XMLHttpRequest невозможен?
Прочитал статью https://learn.javascript.ru/csrf и сложилось ощущение, что автор не прочитал спецификацию XMLHttpRequest, и из-за этого стал делать неправильные выводы.