Chrome擴展和CSRF無敵

Question

假設我們有一個在表單中使用CSRF令牌的網站。

現在我們有一個瀏覽器/ chrome擴展（css，js，html），它使用隱藏在輸入中的CSRF來執行發佈請求並更改應用程序的狀態。

如何防止這種攻擊？或者我錯過了什麼？

Answer 1

在其他網站上運行的隨機JavaScript和擴展腳本之間的區別在於，前者是不可信的，而後者是可信的。

擴展插件代表用戶，用戶可以訪問這些信息（他們可以檢查DOM），擴展插件也是如此。

CSRF令牌僅用於防禦來自不受信任來源的請求。