非POST/GET请求是否需XSRF令牌？非GET/POST用户操作实现咨询

问题1：除POST和GET之外的HTTP方法是否不需要XSRF令牌？ #

绝对不是这样的——XSRF防护的核心是验证请求是否来自用户主动授权的上下文，和HTTP方法本身没有直接绑定。

虽然HTML原生表单只支持GET和POST，这使得这两种方法成为XSRF攻击最常见的目标，但像PUT、DELETE、PATCH这类方法同样存在被攻击的风险：攻击者可以通过恶意页面中的JavaScript（如果目标网站的CORS配置存在漏洞，或者请求是同源的）发起这些方法的请求，利用用户已登录的会话身份执行未授权操作。

所以，只要某个HTTP方法对应的操作涉及用户敏感数据或状态变更（比如修改用户信息、删除资源），无论它是GET/POST还是其他方法，都应该启用XSRF令牌验证。

问题2：若为已登录用户设置需通过GET、POST以外的HTTP方法执行的操作，是否仅能通过遵循SOP或CORS规范的JavaScript HTTP请求携带凭据来完成？（因HTML似乎无法实现该操作） #

你的观察没错，在浏览器网页场景下，确实主要依赖遵循SOP/CORS的JavaScript请求来完成这类操作，原因如下：

• HTML原生表单仅支持GET和POST两种方法（就算你在表单里写了method="PUT"，浏览器最终还是会转换成POST请求，配合_method这类参数做方法覆盖，本质还是POST），无法直接发起PUT、DELETE、PATCH等请求。
• 要发起这些非标准表单方法的请求，只能通过JavaScript的fetch API、XMLHttpRequest或者现代框架的HTTP客户端（比如Axios）。这类请求必须遵守同源策略（SOP）：如果是同源请求，浏览器会自动携带用户的Cookie凭据；如果是跨域请求，则需要目标服务器配置正确的CORS响应头（比如Access-Control-Allow-Origin指定允许的域名、Access-Control-Allow-Credentials: true），同时请求端要设置withCredentials: true（fetch里是credentials: 'include'）才能携带会话凭据。

当然，除了浏览器网页端，用户也可以通过其他客户端工具（比如curl、Postman）发起这些请求，但在网页应用的交互场景中，JavaScript请求是唯一可行的前端方式。

内容的提问来源于stack exchange，提问作者user2284570