Нужна ли каптча при csrf защите?

Question

[Sergey Zhukov]

Собственно может ли бот так же подсовывать csrf? Можно ли не пользоваться каптчей, если есть csrf защита?

Answer 1

[Алексей Уколов]

csrf - это токен, который вы передате в ответе на запрос. Следовательно, получить и использовать его может и бот.
Ну и вообще, он придуман не для этих целей.

Answer 2

[Сергей]

Не вижу связи между csrf и капчей

Answer 3

[Сергей Рогожкин]

Никаких препятствий для бота csrf не представляет. Например, я могу открыть сайт через phantomjs и программно нажать кнопку сабмита. Все нужные поля и куки будут на месте.

Csrf нужен для того, чтобы уже залогиненный у вас пользователь не мог в фоновом режиме выполнять действия, посещая левый сайт. Т.е. зашел на порносайт, а он наспамил втихаря записей в твиттер, потому что в твиттере пользователь уже залогинен. Чтобы этого не было - генерируют токен при открытии оригинального сайта и привязывают к пользовательской сессии.