Хз, думаю не имеет смысла. Этот токен же генерит кто-то, когда вносишь изменения или выходишь. А что мешает передать ссылку на непосредственно ту страницу откуда происходит генерация и переход? Или создать хтмл страницу, которая сделает пост запрос к этой странице? Юзер то залогинен уже, страница сайта генерит код, перенаправляет на важный скрипт с токеном и все, хана. Тот же clickjacking если будет.
Как защититься - хрен знает, я не веб разраб, я вообще этот метод обхода придумал только что, так что думаю защита такая хреновая :D
P.S. А если использовать белые списки referer'а? То есть с какой страницы разрешен переход, а с какой нет? Могу предположить, что такой метод юзается, т.к когда я юзал плагин который нулил все рефереры мои - у меня некоторые сайты сбоили конкретно. Подделать до сих пор можно через левый сайт, реферер можно вроде как изменить. Поэтому, как по мне, можно этот токен запердолить внутрь реферера, а об изменении перед переадресацией спрашивать об этом юзера.
Хз,)))))
