CSRF: POST请求返回的JSON数据会被窃取吗？

Question

由POST请求返回的JSON数据会被跨站请求伪造攻击窃取吗？

Answer 1

这不能用JS来完成，但是我不确定Flash的跨域请求。

在JS中，POST请求可以通过表单和XMLHTTPRequest发出。你不能看到跨域表单的结果，所以这是安全的。XHR禁止跨域请求，所以这也是安全的。

浏览器确实允许通过<script>元素跨域包含脚本，但这只能使用GET。