Как и возможно ли сделать csfr защиту на отдельном веб приложении?
Есть фронт написанный на vue (example.com)
И есть отдельно laravel проект используемый как api (api.example.com) (вместе с laravel passport)
Как и можно ли тут использовать CSFR защиту если эти два "сайта" находятся на разных доменах? Как я понял, такое можно устроить только если они физически находятся в одном месте. Так ли это?
И если нельзя, то есть ли какой то иной путь защиты?
Есть только CORS, но я не в курсе на сколько это является защитой системы.
Не совсем понимаю почему они должны быть на одном сервере. Просто запросы должны подписываться токеном.
А сам сервис может быть распределен по разным нодам, а там уже дело в реализации и где хранить токены для юзеров.
Можете больше почитать вот тут:
Средний
Простой
