比較會話值和隱藏表單是否足以防止CSRF？

Question

因此，「典型」的CSRF保護方法是在會話中和隱藏的表單元素中存儲一個隨機數。攻擊網站是否有可能首先使用受害者的會話刮取目標表單，獲取隱藏的表單標記，然後將令牌發送到它們自己的表單元素中？測試這個我自己，它驗證。我只是很好奇，如果一個機器人可能會抓取頁面並獲得隨機數。

如果這是可能的，那麼如何防範這種類型的攻擊呢？

Answer 1

如果攻擊者可以抓取受害者的頁面，他不需要使用CSRF，因爲他基本上可以對用戶的數據做任何事情。這實際上被稱爲session hijacking並且有other ways of defending the user from it。