security - CSRF：POST请求返回的JSON数据会被窃取吗？

Question

POST 请求返回的 JSON 数据会被跨站请求伪造攻击窃取吗？

Answer 1

用JS是做不到的，但是我不确定Flash的跨域请求。

在 JS POST 请求可以通过表单和 XMLHTTPRequest 进行。你看不到跨域表单的结果，所以这是安全的。XHR 禁止跨域请求，所以也很安全。

浏览器确实允许通过元素跨域包含脚本<script>，但这仅使用 GET。