xsrf令牌cookie如何防止csrf

Question

恶意网站难道不能使用xss cookie窃取读取cookie并将其放入ajax请求的标头中吗？

Answer 1

当然，如果站点易受xss攻击，它也易受csrf攻击，但这是较小的问题。

但是，如果没有xss，则由于同源策略，攻击者无法读取令牌。