如果我只将JSON发送到我的服务器，CSRF会成为威胁吗？

Question

我使用jQuery.ajax并将Content-Type标头设置为application/json，从浏览器向我的服务器发送JSON。

CSRF是否值得关注？ （如果我从表单发送application/x-www-form-urlencoded数据，我知道这是一个问题。）

Answer 1

如果您使用application/json并且您的服务器不允许跨源请求，则唯一的威胁来自基于XHR的CSRF攻击。因此，攻击者需要使用XSS（或类似的攻击）来运行您的源代码。