如何解决JWT 身份验证是否需要 CSRF 令牌
我为 SPA 和移动应用使用实现了一个 REST api，具有以下安全性：
- 长寿命会话令牌（仅安全+HTTP cookie）-> 在/login 上交换访问令牌
- 访问令牌 -> 发送 Auth Header
现在我假设我不需要 CSRF 令牌，因为可以执行的唯一操作是 POST 到 /login，因为 cookie 仅用于此目的。 一个 POST 到例如/transfer 需要有效的访问令牌，而攻击者则没有。
如果会话令牌在任何地方都有效，我只需要一个 CSRF 令牌，因为它是一个 cookie。正确吗？
版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 dio@foxmail.com 举报，一经查实，本站将立刻删除。
