我需要启用 CSRF 保护吗？

【问题标题】：Do I need to enable CSRF protection?我需要启用 CSRF 保护吗？
【发布时间】：2015-07-11 00:04:54
【问题描述】：

如果我的 API 服务器中的任何 POST 端点都没有使用 application/x-www-form-urlencoded 或 multipart/form-data，我是否需要关注 CSRF？据我了解，CSRF 只能通过表单支持的 POST 请求执行。任何其他类型的请求都需要使用XMLHttpRequest，由于同源策略，它不会通过。

【问题讨论】：

标签： javascript security csrf

【解决方案1】：

当然，您可以在现代浏览器中send JSON from forms。因此，适用于application/x-www-form-encoded 的所有内容同样适用于其他表单数据编码类型。

此外 - 不能保证将来不会添加对更多类型的支持，所以总是这样。

【讨论】：

当我说“现代浏览器”时，它更像是 beta 分支和开发频道。据我所知，该规范尚未集成到 HTML5 标准中。（允许使用文本/纯文本不过）。
我明白了。所以看起来虽然这条攻击途径今天没有开放，但可能明天就开放了；所以我必须投保。