我有一个静态网站,通过CDN提供服务,并通过AJAX与API通信。如何防止CSRF攻击?
由于我无法控制静态网站的服务方式,因此无法在某人加载我的静态网站时生成CSRF令牌(并将令牌插入表单或随AJAX请求发送)。我可以创建一个GET
端点来检索令牌,但攻击者似乎可以简单地访问该端点并使用它提供的令牌?
在这种情况下,是否有一种有效的方法来预防CSRF攻击?
附加细节:身份验证是完全独立的。我想要CSRF保护的一些API请求是经过身份验证的端点,而其他一些请求是公共POST请求(但我想确认它们来自我的站点,而不是别人的)。