javascript - GET 请求的 CSRF 保护

Question

我有一个 RESTful API，我可以通过我创建的网站与之交互。我对 POST、DELETE、PUT 等请求进行了充分保护，因此攻击者无法通过 CSRF 对数据库进行任何更改。

但是，如果有人使用 CSRF 向网站发出 GET 请求，我担心他们可能能够查看响应，这可能会泄露存储在数据库中的敏感数据。

他们是否可以查看对跨站点 GET 请求的响应，或者这是否完全由 Javascript 的同源策略处理？

Answer 1

is this definitely, completely taken care of by Javascript's Same Origin Policy?

是的。这就是同源策略的意义所在。

要变得易受攻击，您需要:

• 使用 JSONP 或 CORS 之类的东西在 SOP 中打个洞或
• 不执行用户身份验证，这样他们就可以访问数据，而无需经过身份验证的用户浏览器作为中间人