JWT 和防伪令牌

Question

我一直在研究关于JWT和防伪标记，我发现这个文章从微软那里表明，在智威汤逊的防伪验证是没有必要的。

这是正确的还是我理解错了？

我正在使用 JWT 开发带有 webapi 和 angular 6 的应用程序

Answer 1

防伪令牌可防止基于 cookie 的 CSRF 攻击。

只要您的 JWT手动附加到选定的请求（与附加到浏览器中每个请求的 cookie 不同），CSRF 就不再可能了。

所以，答案是：对于没有在 cookie 中发送的令牌是正确的。