¿Por qué se usan con tanta frecuencia los tokens CSRF?

Actualmente no puede depender del encabezado de origen, porque no está implementado en todos los navegadores que están en uso activo. Aparte de eso, Origin no se envía en todos los casos relevantes para CSRF, como

<img src=http://router/admin.cgi?...>

  

"¿El origen no está allí? Si no, está bien. Si lo está, ¿es uno en el que confío?   (por ejemplo, el mismo origen)? Si es así, está bien. "

Aunque puede usar el encabezado de origen para rechazar una solicitud. Si falta el encabezado de origen, no puede aceptarlo de forma segura, ni siquiera para las solicitudes POST. Por lo que sé, una solicitud de formulario HTML no incluye un encabezado de Origen, y tampoco incluye imgs, scripts, enlaces, imágenes de fondo de cos, u otros lugares que hacen solicitudes de obtención. Y, por supuesto, el encabezado Origin no se envía para las solicitudes XHR en el mismo host, por lo que necesita otro mecanismo de protección.

Una opción es colocar el token csrf en un encabezado personalizado, que es más fácil de hacer globalmente y no coloca el token en la URL para obtener solicitudes. Y luego, si lo desea, puede verificar que la solicitud tenga el encabezado de origen o el encabezado personalizado.

También puede hacer algo como el método que mencionó, siempre que rechace cualquier solicitud que no sea una solicitud de Ajax. Pero no estoy tan seguro de la seguridad de eso.

En resumen, el encabezado de Origen, por sí solo no es suficiente si desea realizar solicitudes en el mismo origen, pero se podría usar en combinación con otro método de protección csrf.