Нужны ли как токены csrf, так и код безопасности?

Question

Может ли кто-нибудь подтвердить это: мне нужно предоставить и токен CSRF, и капчу в форме отправки, или эти два более или менее выполняют одну и ту же функцию (одну можно использовать вместо другой)?

Answer 1

Вместо токена CSRF может использоваться капча. Это описано в OWASP CSRF Prevention Guide . Капча считается более сильной формой предотвращения CSRF, чем проверка токена или реферера, потому что ее нельзя обойти с помощью XSS.

Answer 2

Да, я был неправ. И капча, и токен привязаны к сеансу.

Однако я все еще не вижу большого смысла в этом вопросе.
Вы не можете использовать CAPTCHA для каждой формы на сайте. Это сведет пользователей с ума и прочь.
Таким образом, почему бы не иметь токен для каждой формы по умолчанию и CAPTCHA для выбранных?