关于token

Question

1.为什么要多一步塞到header中，后台在cookie中不也可以拿到吗

2.如果我从别人那里复制一份token过来（登录状态中），是不是在postman调用网站接口时就可以为所欲为了？

Answer 1

ustbhuangyi 2021-04-25 10:45:13

课程只是一个简单的演示，而真实的 csrf token 是每次访问站点动态生成的，每次都不一样，在没有请求源站点的情况下，你是没办法获取到 token 的，至于要不要 header，和后端的处理策略相关，有些会从 header 里读取这个字段，当然从 cookie 里也可以拿到