CSRF 令牌超时

Question

本页描述了一个解释 CSRF 攻击 (16.1) 的用例：

https://docs.spring.io/spring-security/site/docs/current/reference/html/csrf.html

但是如果用户确实登录了银行的网站，那么邪恶网站难道不可以通过 GET 请求获取新的 CSRF 令牌，然后在根本不需要用户的情况下制作 POST 吗？

答案一定是否定的，否则CSRF token就没用了，但我不明白为什么？

Answer 1

答案是“否”，原因是同源政策。

SOP 意味着来自evil.com 的页面无法读取任何对其可能发送到example.com 的请求的响应。发送请求的最直接方式将被浏览器 (SOP) 阻止，但有许多变通方法。例如，evil.com 可以发送

• 通过嵌入<img>、<script>、<css> 并设置src="http://example.com/path"（或<a href="http://example.com/path">）来获取请求。
• 通过提交表单来发布请求。

由于evil.com 无法读取任何响应，因此无法读取 CSRF 令牌。