作者回复: 之所在要放在Form表单的隐藏元素里,正是为了避免浏览器通过cookie自动携带上,所以不能放在Set-Cookie里
作者回复: 1、一般是放在form中的。
2、攻击网站不能读取其他域下的DOM结构,因此获取不了。
3、这只是针对的JS脚本哦,这种攻击方式最常见,如果是抓包这种中间人攻击是没有办法的,此时只能期待走TLS加密了(参见第4部分课程)
作者回复: 1、B的JS脚本执行的时候。
2、开始两页没有攻击者,没有同源策略时B是攻击者,后面A是攻击者。
3、因为GET服务提供站点可能是静态资源站点,而POST面对的是动态站点,不同域名会导致跨域。
4、攻击者只是可以使用cookie,而cookie的意义它并不知道;而token不会记录到cookie中。
作者回复: 服务器数据库里