接受跨站點XHTMLRequest的站點應該始終需要XSRF安全性？

Question

如果服務器接受跨站點XHTMLRequests（訪問控制允許來源），服務器是否不應該對跨站點請求僞造（CSRF）實施保護？

Answer 1

這取決於。一般來說，如果請求導致永久性更改，並且您不希望人們任意更改，則強烈建議CSRF保護。

Answer 2

是的。一般來說，你應該始終保護CSRF。

Answer 3

服務器不應強制執行該操作，但應用程序應通過非人工驗證（即CAPTCHA）請求完成關鍵操作。