要求 POST 加上自定义 Content-Type 是否会阻止 CSRF？

Question

我的团队正在构建一个站点，该站点使用对 WCF 服务的 AJAX 调用来进行所有状态更改。这些服务仅在其方法为 POST 且其 Content-Type 为“application/json”时才接受请求。假设我们的站点没有 XSS 漏洞，这是否足以为我们的 WCF 服务提供针对 CSRF 的保护？攻击者是否可以使用自定义 Content-Type 标头创建跨站点 POST？

[编辑] 显然，恶意第三方站点有多种方法可以向我的站点构建 HTTP POST 请求。然而，据我所知，这些方法都不允许更改 Content-Type 标头。 XHR 和 Flash 都允许您设置标题，但有严格的跨站点限制。

Answer 1

可能，但为什么不继续检查 HTTP Referrer 标头？那你就肯定知道了。