Расширения Chrome и CSRF неуязвимость

Question

Предположим, у нас есть сайт, который использует токены CSRF в форме.

Теперь у нас есть расширение браузера/chrome (css, js, html), которое использует CSRF, который скрыт во входном файле, чтобы выполнить запрос на отправку и изменить состояние нашего приложения.

Как можно защитить от такой атаки? Или я чего-то не хватает?

Answer 1

Разница между случайным javascript, запущенным на других сайтах и ​​сценариями расширения, заключается в том, что первое не доверено, а последнему доверено.

Расширения действуют от имени пользователей, пользователи имеют доступ к этой информации (они могут просто проверять DOM), так же как и расширение.

Точки CSRF предназначены только для защиты от запросов от ненадежных источников.