我试图找到有关API的CSRF漏洞的更多信息，我发现的关闭是这里的问题：
Are JSON web services vulnerable to CSRF attacks?
问题在于，即使在那里，他们也会使用基于浏览器的cookie控制会话。如果您正在使用标头中设置的身份验证令牌，那么是否会导致所有CSRF问题无效？
浏览器无法提供身份验证令牌/会话数据，因为浏览器永远不会被提供！ Javascript负责提取令牌并设置它 - 如果恶意用户可以在您的javascript中注入代码，那么您开始时的安全漏洞要比CSRF差得多。
我错过了什么吗？