这是一个创建于 3154 天前的主题，其中的信息可能已经有所发展或是发生改变。
我知道 csrf 是防止跨站伪造请求的，但是我觉得下面这种方式可能绕过 csrf 。
如果我要伪造一个跨站的请求。我先去访问 django 网站上带 form 的页面（ get 方法），得到相应之后拿出来 csrf_token （从 cookie 中或者从页面中），然后再发送请求，请求的头里面写上我上一次拿到的 toekn 。
请问上面我的这个想法，不可行在哪里？ 谢谢。
3 条回复 2017-02-22 18:06:50 +08:00
 | 1 RandomK 2017-02-22 14:46:26 +08:00  1 CSRF 是在浏览器里完成的攻击。如果脱离了浏览器的限制，使用其他程序或后端脚本直接获取页面的里的 csrf_token ，再发送请求，和 csrf 没有关系了。在浏览器同源策略的限制下，你无法在 B 网站直接获取 A 网站里的 cookie 和页面内容。 |
Select Language