问一个关于 CSRF 的问题

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 2182 天前的主题，其中的信息可能已经有所发展或是发生改变。

CSRF 指 A 网站正常登陆后，cookie 正常保存，其他网站 B 通过某种方式调用 A 网站接口进行操作

但是 B 访问 A 的接口不就跨域了吗？怎么进行请求伪造呢？

6 条回复 • 2019-11-07 17:45:52 +08:00

ysc3839

2019-11-07 14:24:23 +08:00 via Android

img script

chenset

2019-11-07 14:24:28 +08:00

1. AJAX 是跨域了, 浏览器会禁止.
2. 如果接口是 GET 请求, 还有会被 B 页面的通过嵌入 a 连接的方式伪造

ssshooter

2019-11-07 14:33:23 +08:00

@ysc3839
@chenset

那么使用 POST 加跨域限制直接就能解决问题了？

lxy42

2019-11-07 14:43:54 +08:00

beastk

2019-11-07 15:39:52 +08:00 via iPhone

csrf 并没有跨域

ssshooter

2019-11-07 17:45:52 +08:00

@lxy42 感谢，之前不知道 form 可以跨域