【发布时间】：2018-07-12 17:44:13
【问题描述】：
我们知道，浏览器的同源策略禁止async 请求外源。此策略的目的是防止CSRF 攻击。
但是我们仍然可以同步请求到国外，浏览器会接受目标网站的cookie，然后CSRF再次发生。
经验。我们可以在黑客的网站中添加一个隐藏的表单，并自动将请求提交到目标网站。
那么这个政策有必要吗？
【问题讨论】：
-
"但是我们仍然可以同步请求到外部源" 真的可以吗？
-
@Teemu 。经验。我们可以在黑客的网站中添加一个隐藏表单，并自动将请求提交到目标网站。
-
不知道我是否理解了这个问题......如果我们可以在黑客的网站中添加一个隐藏表单，那意味着我们是黑客......？
-
@Teemu 黑客可以这样做来攻击目标网站
-
请注意，同源策略不会阻止 ajax 请求中的 CSRF。只有响应不会返回给攻击者，但在这些情况下，攻击者并不关心，请求会在受害者服务器上发出和处理。
标签： javascript security web cookies csrf