CORS 保护（同源策略）可靠吗？

【问题标题】：Is CORS protection ( Same origin policy ) reliable?CORS 保护（同源策略）可靠吗？
【发布时间】：2015-04-23 19:35:45
【问题描述】：

我的应用程序中有反 crsf 机制，但我想知道，它真的有必要吗？我能否仅依靠同源策略来保护我的用户免受跨站资源伪造攻击？

【问题讨论】：

标签： http csrf same-origin-policy

【解决方案1】：

同源策略仅防止跨站点脚本，否则即使对于编写良好的应用程序也是可能的。但它对 CSRF 没有帮助，例如，如果恶意网站包含如下代码：

<body onLoad="document.getElementById('attack').submit();">
    <form id="attack" action="http://victim/admin/add-user">
        <input type="hidden" name="username" value="badguy"/>
        <input type="hidden" name="password" value="asdf394y"/>
        <input type="hidden" name="role" value="admin"/>
    </form>
</body>

攻击者将无法读取响应，但这里不需要。

【讨论】：