Solicitud del token CSRF a través de AJAX para la aplicación web de JavaScript [duplicado]

Sí, siempre y cuando se respeten las precauciones habituales; solicítelo una vez al inicio de la sesión, luego manténgalo dentro de la aplicación, asegure la solicitud de API con SSL, asegúrese de que el token se haya creado correctamente (aleatoriamente cifrada, reclamaciones cifradas, etc.)

Hay más información en la página de OWASP sobre prevención de CSRF aquí:

En realidad, no necesita el token, puede hacerlo usando un encabezado personalizado.

Sé que CSRF-Token es importante porque soy un cazador de recompensas de errores, pero puedes depender de la seguridad del navegador. Vi muchos casos en los que el símbolo CSRF se filtró desde el subdominio.

Por ejemplo, cuando envía datos desde a.mysite.com, incluya este encabezado:

Ok-Request: 1 

Ya que envía datos a varios dominios, debe configurar su encabezado HTTP Al igual que esto (para b.mysite.com):

Access-Control-Allow-Headers: x-requested-with, content-type, accept, origin, Ok-Request 
Access-Control-Allow-Methods: GET, POST, PUT, OPTIONS
Access-Control-Allow-Origin: a.mysite.com
Access-Control-Allow-Credentials:true

Cuando el navegador envíe un encabezado personalizado, primero realizará una Solicitud de OPCIÓN si todo está bien, como (Origen, Método, Encabezados), luego se realizará la solicitud real. De lo contrario, el navegador lanzará un error SOP .