问一个关于 CSRF 的问题

[ssshooter]

CSRF 指 A 网站正常登陆后，cookie 正常保存，其他网站 B 通过某种方式调用 A 网站接口进行操作

但是 B 访问 A 的接口不就跨域了吗？怎么进行请求伪造呢？

[ysc3839]

img script

[chenset]

1. AJAX 是跨域了, 浏览器会禁止.
2. 如果接口是 GET 请求, 还有会被 B 页面的通过嵌入 a 连接的方式伪造

[ssshooter]

@ysc3839
@chenset

那么使用 POST 加跨域限制直接就能解决问题了？

[lxy42]

这个网页说得很详细: https://www.owasp.org/index.php/Cross-Site_Request_Forgery_(CSRF)

[beastk]

csrf 并没有跨域

[ssshooter]

@lxy42 感谢，之前不知道 form 可以跨域