OWASP Top 10 2017

[s256]

Странно, что убрали CSRF… Уже забыли Егора Хомякова? )

[Closius]

Так с CSFR давно уже успешно борятся тем, что просто забивают на него. Если надо, то этот CSRF не сможно обойти

[s256]

Позвольте полюбопытствовать и как же обойдете грамотно реализованную защиту от csrf?

[Closius]

Тем же MITM. Опять же защита должна быть в комплексе. Нельзя говорить, что только CSRF. Перехват токена csrf и дальше подмена токена сессии и фактически вы перехватили контроль csrf в свои руки. Это сложно, но возможно.
CSRF он усложнит процесс взлома, но не полностью исключит его.

[s256]

Ну… следуя такой логике тогда уже вобще защищать ничего не нужно, без должной физической защиты ;)