问题描述
我为 SPA 和移动应用使用实现了一个 REST api，具有以下安全性：
- 长寿命会话令牌（仅安全+HTTP cookie）-> 在/login 上交换访问令牌
- 访问令牌 -> 发送 Auth Header
现在我假设我不需要 CSRF 令牌，因为可以执行的唯一操作是 POST 到 /login，因为 cookie 仅用于此目的。 一个 POST 到例如/transfer 需要有效的访问令牌，而攻击者则没有。
如果会话令牌在任何地方都有效，我只需要一个 CSRF 令牌，因为它是一个 cookie。正确吗？
解决方法
暂无找到可以解决该程序问题的有效方法，小编努力寻找整理中！
如果你已经找到好的解决方法，欢迎将解决方案带上本链接一起发送给小编。
小编邮箱:dio#foxmail.com (将#修改为@）