前后端分离登录注册系统：API请求是否需使用CSRF Token？

1. 登录/注册POST请求是否需要CSRF Token？ #

需要。
登录、注册这类接口虽由用户主动触发，但表单提交不受浏览器CORS规则限制——攻击者可构造恶意页面，诱导用户点击或自动触发跨域的登录/注册请求。比如强制用户注册垃圾账号，或是用攻击者的账号让用户误登录，进而引发后续操作风险。即便此时用户还未生成登录态Cookie，这类跨域伪造请求依然可能对系统或用户造成危害，因此必须在登录/注册的POST请求中加入CSRF Token验证。

2. 刷新Token接口是否需要CSRF Token？ #

需要。
你的refresh token存储在HttpOnly安全Cookie中，浏览器会在发起刷新请求时自动携带该Cookie。此时攻击者可构造恶意页面，诱导用户访问后触发跨域刷新请求——一旦请求成功，攻击者可能通过各种方式获取返回的新access token（即便CORS限制了响应的前端读取，仍存在间接利用的风险），进而劫持用户会话。CORS配置仅限制跨域请求的响应是否能被前端JS读取，无法阻止跨域请求本身的发送，因此刷新接口必须要求携带CSRF Token并做验证。

实操建议 #

• 前端：页面初始化时从后端获取CSRF Token，存储在内存或非HttpOnly Cookie中，在所有需要防护的POST请求（登录、注册、刷新Token）中，通过请求头（如X-CSRF-Token）或表单字段携带该Token。
• 后端：验证请求中的CSRF Token与当前用户会话（或对应Cookie）中的Token是否一致，不一致则拒绝请求。

内容的提问来源于stack exchange，提问作者Study Planet