GET 请求的 CSRF 保护

Question

我有一个 RESTful API，我通过自己制作的网站与之交互。我有 POST、DELETE、PUT 等请求得到充分保护，因此攻击者无法通过 CSRF 对数据库进行任何更改。

但是，如果有人使用 CSRF 向网站发出 GET 请求，我担心他们可能能够查看响应，这可能会泄露存储在数据库中的敏感数据。

他们是否可以查看对跨站点 GET 请求的响应，或者这完全由 Javascript 的同源策略处理？

Answer 1

这是否完全由 Javascript 的同源策略处理？

是的。这就是同源政策的重点。

要容易受到攻击，您需要：

• 使用 JSONP 或 CORS 之类的方法在 SOP 中打一个洞或
• 不执行用户身份验证，以便他们可以访问数据，而无需将经过身份验证的用户的浏览器作为中间人参与