CSRF token 超时

Question

本页描述了一个用例来解释 CSRF 攻击 (16.1):

https://docs.spring.io/spring-security/site/docs/current/reference/html/csrf.html

但如果用户确实登录了银行网站，那么恶意网站是否可以发出 GET 请求以获取新的 CSRF token ，并在根本不需要用户的情况下制作 POST？

答案必须是否定的，否则CSRF token就没有用了，但我不明白为什么？

Answer 1

答案是否定的，原因是同源策略。

SOP 表示来自 evil.com 的页面无法读取对它可能发送给 example.com 的请求的任何响应.大多数直接发送请求的方式都会被浏览器拦截(SOP)，但也有很多变通方法。例如，evil.com可以发送

• 通过嵌入 <img> 获取请求, <script> , <css>和设置 src="http://example.com/path" (或 <a href="http://example.com/path"> )。
• 通过提交表单来发布请求。

自 evil.com无法读取任何响应，也无法读取 CSRF token 。