CSRF保護質問

Question

私は現在、フレームワーク（PHP）にCSRF保護を実装中です。攻撃者は（トークンを取得）（隠された）iframe内に自分のページをロードし、JavaScriptを使用していくつかのデータを変更するため

を、それは可能ではないでしょう：私は疑問に思ってすることが

？

その後、フォームを送信していますか？

Answer 1

攻撃者のページに同じドメイン、プロトコル、ポートがある場合は、Same Origin PolicyのためにiframeのHTMLを読み取ることができません。