Классический CSRF-токен обычно не требуется API, которое принимает авторизацию только через явно добавленный Bearer-заголовок и не использует автоматически отправляемые credentials.
Когда CSRF-токен не нужен?
Классический CSRF-токен обычно не требуется API, которое принимает авторизацию только через явно добавленный Bearer-заголовок и не использует автоматически отправляемые credentials.
Короткий ответ
Что ответить на собеседовании
Подробный разбор
Ответ с пояснениями
Классический CSRF-токен обычно не требуется API, которое принимает авторизацию только через явно добавленный Bearer-заголовок и не использует автоматически отправляемые credentials.
Это предполагает корректную CORS-политику и отсутствие запасного cookie-входа в те же операции. JWT в cookie по-прежнему может требовать CSRF-защиты. Безопасные GET не должны менять состояние; XSS и кража токена остаются отдельными угрозами.
Источник: cheatsheetseries.owasp.org.