14/10/12 12:28:08.32
CSRFの対策としてhiddenにトークンをいれて正規のリクエストか判断する方法がありますが、
攻撃者が先に、トークンを含むレスポンスをユーザに取得させ、
その上でリクエストにトークンを含めて送らせることで回避できるのではと思います。
（javascriptで可能？）
しかしネットでこの点について指摘している情報は見受けられませんでした。
これは、上記の回避がCSRF以外の脆弱性の問題だからでしょうか？
それとも上記のような回避はそもそも不可能だからでしょうか？
何か前提があるので、その話題がまったくないのではと思ったのですが、
どなたかご存知のかた教えて欲しいです。