接受跨站点XHTMLRequest的站点应该始终需要XSRF安全性吗？

Question

如果服务器接受跨站点XHTMLRequests（access-control-allow-origin），服务器是否应该强制执行针对跨站点请求伪造（CSRF）的保护？

Answer 1

这取决于。一般来说，如果请求导致永久性更改，并且您不希望任意人员进行更改，则强烈建议您使用CSRF保护。

Answer 2

服务器不应强制执行该操作，但应用程序应该通过非人类验证（即CAPTCHA）请求完成关键操作。

Answer 3

是。您应该始终保护CSRF免受攻击。