CSRF风险和令牌

Question

我有一个将表单注入到另一个服务器的网页的书签。该表单通过JSONP使用jQuery将数据提交回我的服务器，并将提交的数据添加到数据库中。

问：这种注射的形式也包含在一个隐藏字段一个CSRF令牌：

<input type="hidden" name="csrf_token" value="MWkgtQbdH6maJhuGL7ObwPcbgqARUCTjb4NSdo29"> 

请问这仍然构成CSRF风险？

Answer 1

页面仍然可以被抓取并远程提交。这是一种威慑，但不是绝对的解决办法。它会停止链接，但有人可以远程发布表单。

您也可以检查引用链接，但有些客户端和防火墙阻止发送引荐链接。

一个解决方案是通过提交js来设置cookie，然后验证服务器端。