CSRF 攻撃が、被害者のブラウザに既に存在するグローバル JavaScript 変数の内容を読み取ることは可能ですか?
私の計画は、ユーザーが正常にログオンしたときにセッションに保存される CSRFToken 値をアプリケーションに保存し、それをアプリケーションで使用するためにグローバルにアクセス可能な JavaScript 変数に保存することです。jQuery を使用して、この値をアプリケーション内のフォーム ポスト アクションに自動的に追加します。サーバー側では、値が一致するかどうかを確認し、一致が見つからない場合はアクションを完了するかブロックします。
私の理解では、CSRF 攻撃はさまざまな方法で展開できますが、いずれも被害者をサード パーティのサイトにリダイレクトして悪意のあるコードを実行する必要があります。たとえば、サードパーティ サイトはフォーム リクエストの偽造を試みることができますが、CSRFToken の内容を知らない限り、アクションは失敗します。もちろん、彼らはどうにかしてそれにたどり着くことができます。これは可能ですか？