Можно ли использовать токен пользователя как альтернативу токена от csrf атак?

Question

[SpaceBox777]

Стоит ли использовать дополнительный динамический токен для проверки подлинности запроса если для авторизации используется токен пользователя для обращения к апи?

Answer 1

[Aleksey]

Собственные решения "улучшающие безопасность" в 100% случаев ведут к новым дырам, через которые вас поимеют. Я б не рекомендовал.

Answer 2

[Владимир]

Дополнительный динамический токен для защиты от csrf использовать не просто стоит, его нужно использовать обязательно (он так и называется csrf-токен) - токен пользователя используется только для аутентификации/авторизации или идентификации пользователя.