現在瀏覽器這麼安全，是不是沒必要進行csrf防禦了？

首先，服務端nginx等需要設定跨域請求以及跨域frame請求是否允許（預設都是不允許的）。
再者，瀏覽器端對跨域ajax限制非常嚴格，根本不允許跨域訪問cookie。

那麼我們web開發時，現在對csrf所做的措施（一般是給form 加個hidden csrf token input），是否是多此一舉了，完全沒必要？

回複內容：

哈哈哈，當然仍舊需要。

測了下，雖然，nginx配置'X-Frame-Options' to 'SAMEORIGIN'後，同domain下居然不能iframe不同子網域名稱，既然打不開就更別說之後的通過js來擷取cookie進而得到session id。

但是一種更簡單的攻擊仍舊無法避免：

如果你在一個被我做了手腳的wifi環境（區域網路）中，我汙染了dns，並且做了個惡意站叫做csrf-attack，然後你登陸了某個沒有csrf防禦的站叫做no-csrf-token, 然後我在csrf-attack裡做了個頁面，裡面有個這樣的表單：

瀏覽器無法阻止crsf攻擊。【現在瀏覽器這麼安全】......

這真的不是釣魚貼？所有的東西都在後台可以看到

