Chrome 扩展和 CSRF 无懈可击

Question

假设我们有一个网站在表单中使用 CSRF 令牌。

现在我们有一个 browser/chrome 扩展（css，js，html），它使用隐藏在输入中的 CSRF 来执行 post 请求并更改我们应用程序的状态。

如何防范此类攻击？还是我遗漏了什么？

Answer 1

其他网站的随机javascript运行和扩展脚本的区别在于前者不可信，后者可信

扩展程序代表用户，用户可以访问这些信息（他们可以只检查 DOM），扩展程序也是如此。

CSRF 令牌仅用于抵御来自不受信任来源的请求。