javascript - XHR2 凭证请求 - 安全/可伪造？

Question

我正在尝试了解凭证式 XHR2 请求的安全性如何。

具体来说，我可以确定请求来自浏览器运行时环境，而不是机器人（即服务器端程序），还是后者可以伪造请求？

Answer 1

从来没有任何方法可以告诉（几乎可以确定）哪种类型的客户端发出了 HTTP 请求。

使用凭据的重点是只有您信任的用户才能拥有它们。因此，您信任提出请求的用户，而不是他们使用的软件。