CSRF保護問題

Question

我目前正在將CSRF保護實施到我的框架（PHP）中。

但是我想知道：

豈不是可能的攻擊者載入我的網頁中（隱藏）IFRAME（獲得令牌），並使用JavaScript改變一些數據？

然後提交表單？

Answer 1

除非攻擊者的頁面具有相同的域名，協議和端口爲你（如果是這樣，你可能有更嚴重的問題），他們將無法讀取，因爲Same Origin Policy的iframe的HTML。