接受跨站点XHTMLRequest的站点应该始终需要XSRF安全性？

Question

如果服务器接受跨站点XHTMLRequests（访问控制允许来源），服务器是否不应该对跨站点请求伪造（CSRF）实施保护？

Answer 1

这取决于。一般来说，如果请求导致永久性更改，并且您不希望人们任意更改，则强烈建议CSRF保护。

Answer 2

是的。一般来说，你应该始终保护CSRF。

Answer 3

服务器不应强制执行该操作，但应用程序应通过非人工验证（即CAPTCHA）请求完成关键操作。