不需要CSRF保护？

Question

报价：

互联网已经改变了很多，因为CSRF是一个“大事情”，并与CSRF攻击所用的战术 正在变得过时。

我个人没有防止CSRF，主要是因为我没有使用 明显不安全的身份验证方法。

他有什么意义吗？

请给我一些参数如果我是正确的，为什么这个人是（固执？）或者没有清楚地思考，因为我想说明一点，但我实际上并没有达到如何表达它。 ..

Answer 1

引用的论点没有任何意义，但可能还有一些我们错过的其他背景。

目前还不清楚你的同事提出的认证是什么样的形式，而不是公然不安全，没有CSRF问题。

有一些可能性，例如，在完全由AJAX驱动的应用程序中，您可能会传递身份验证令牌作为输入参数，而不是依赖会话。在这种情况下，您不需要额外的反CSRF措施，因为身份验证令牌已经是攻击者无法获得的秘密。

但CSRF一般还没有消失;浏览器还没有发展出魔法功能来阻止它发生。对于使用浏览器持久性验证模型（cookie，HTTP验证）的webapp的典型模型，您肯定仍然需要以某种方式解决它。