Rails CSRF防护疑问：复制authenticity_token为何无法绕过防护？

你提到的攻击场景无法成立的根本原因 #

CSRF防护的核心前提是浏览器的同源策略限制，攻击者根本不可能拿到受害者当前会话下对应的authenticity_token，你假设的场景只在本地测试时才会出现，真实攻击环境中无法实现：

• 每个authenticity_token都和当前用户的会话唯一绑定，同一个站点不同用户、同一用户不同会话的token完全不同，服务端校验时会比对请求提交的token和当前请求关联的session中存储的token是否一致，二者不匹配直接拦截。
• 攻击者如果要构造有效的恶意请求，必须先获取受害者登录状态下属于受害者会话的token，但浏览器的同源策略禁止跨域站点读取另一个域名的页面内容：假设受害者登录了Rails站点a.com，攻击者的恶意站点是b.com，b.com的JS既不能直接请求a.com的页面读取源码里的token，也无法通过嵌入a.com的iframe读取iframe内部的DOM内容，这类跨域读操作会被浏览器直接拦截。
• 你提到的“复制网页源码中的token”只能复制到你自己当前会话的token，将该token嵌入恶意表单发送给其他用户提交时，其他用户的会话中存储的token和你复制的token完全不匹配，自然会被校验逻辑拦截。

例外场景说明 #

如果Rails站点存在XSS漏洞，攻击者确实可以通过注入的恶意JS读取当前页面的authenticity_token构造合法请求，但这属于XSS攻击的范畴，CSRF防护机制本身不负责防御XSS，这类场景需要通过输入过滤、输出转义、CSP配置等XSS防护手段处理。

内容的提问来源于stack exchange，提问作者mrateb