Sinds kort ben ik met Ruby on Rails aan het spelen en die heeft een ingebouwde cross site forgery request preventie. Nu vroeg ik me af of dit überhaupt wel nut heeft.
Met AJAX zou een kwaadwillige toch de pagina kunnen ophalen (inclusief de gebruiker haar sessie), de token uit de meta parameter lezen en vervolgens als nog een form doorvoeren via AJAX met de uitgelezen token?
Kan iemand mij uitleggen of dit dan wel veilig is want zoals ik het beredeneer maak je het de kwaadwillige alleen een beetje lastiger maar is het geen preventie.
Met AJAX zou een kwaadwillige toch de pagina kunnen ophalen (inclusief de gebruiker haar sessie), de token uit de meta parameter lezen en vervolgens als nog een form doorvoeren via AJAX met de uitgelezen token?
Kan iemand mij uitleggen of dit dan wel veilig is want zoals ik het beredeneer maak je het de kwaadwillige alleen een beetje lastiger maar is het geen preventie.