cookies - xsrf 令牌 cookie 如何防止 csrf？

Question

恶意网站不能使用 xss cookie 窃取来读取 cookie 并将其放入 ajax 请求的标头中吗？

Answer 1

当然，如果网站容易受到 xss 的攻击，它也容易受到 csrf 的攻击，但那是较小的问题。

如果没有 xss，由于同源策略，攻击者无法读取令牌。