假设安全测试人员使用代理,比如Fiddler,并使用管理员的凭据记录HTTPS请求 - 在重放整个请求(包括会话和身份验证cookie)时,安全测试人员能够成功(重新)记录事务.声称这是CSRF漏洞的标志.
恶意用户必须做什么来拦截HTTPS请求并重放它？这是一个脚本小子,资金充足的军事黑客团队或时间旅行外星人技术的任务吗？记录用户的SSL会话并在门票到期之前重播它们真的很容易吗？
应用程序中的代码当前没有对HTTP GET做任何有趣的事情,因此AFAIK,欺骗管理员点击链接或加载带有恶意URL的图像不是问题.