Vlákno názorů k článku Bezpečnostní novinky v prohlížečích: ochrana CSRF a důvěryhodná metadata od Pavel Tavoda - K tomu CSRF utoku by bolo asi vhodne...

K tomu CSRF utoku by bolo asi vhodne spomenut ze ochrana pomocou tokenu sa uz neodporuca. Uplne postacuje spravne nastavena CORS policy.

Je s použitím tokenu spojená nějaká nevýhoda? Nebo se to nedoporučuje jen pro nové aplikace?

Su s tym spojene komplikacie ktore musite riesit vo vasej aplikacii. Obcas token pregenerovat, niekto hovori ze pri kazdom requeste ja myslim ze staci per session jeden. Ak ho generujete a osetrujete ako poslat linku kolegovi cez mail? Ako riesit <back button (stary token), ... a kopec dalsich veci a iba zopakujem, vsetko treba riesit aplikacne. CORS policy si nastavite obvykle pri deployment v servri (reverse proxy alebo aplikacny server) a aplikacia samotna nemusi vobec nic riesit.

Hlavní nevýhoda je, že token neřeší ten problém, ale spíš ho obchází. Problém je, že je možné požadavky posílat i z jiných stránek. A token dělá to, že požadavek musí být svázaný se zobrazením stránky, která má požadavek provádět. To ale jde proti principům webu, kdy má být každý zdroj samostatný. Když to tak není, přestávají fungovat tlačítka zpět a vpřed, obnova stránky, odkazy apod.

To zas celkom nie je pravda. Cele presmerovanie na linku fungovat bude. Problem je ked sa 'embeduje/inte­gruje' cast ineho webu na moju stranku co sa da zneuzit na utok.
CORS vam v tom ale efektivne zabrani tiez pretoze z dovodu bezpecnosti sa obvykle nastavuje ze fetch z inej stranky nez mojej je zakazany.

Nevím, co je „přesměrování na linku“, každopádně pokud bude odkaz obsahovat časově omezený token, přestane po chvíli platit. Pokud se eviduje použití tokenů a každý se může použít jenom jednou, přestane odkaz platit hned po prvním použití.