Estoy leyendo openid connect document y dice:
Poner en una cookie del navegador el token de ID se puede usar para implementar sesiones ligeras sin estado.
IIUC queremos evitar el uso de cookies para asegurarnos de evitar los ataques CSRF, ya que el navegador enviará la cookie con todas las solicitudes, y si el usuario carga una imagen (mientras está conectado a notsosecurebank.com) con la URL:
href="http://notsosecurebank.com/transfer.do?acct=AttackerA&amount;=$100">Read more!
El navegador enviará el token de acceso (ya que es una cookie) y esto permite que ocurra el ataque.
Si el token es almacenamiento en sesión o almacenamiento local y solo se envía a través de solicitudes REST / XHR, ¿entonces no hay forma de que CSRF ocurra? ¿Entendí esto correctamente?