14.5. 跨站点请求 Forgery (CSRF)

使用多个 JavaScript 实例的仪表板应该被审核为漏洞，如不正确的使用 @csrf_exempt decorator。在降低 CORS (Cros Origin Resource Sharing)限制前，评估未遵循推荐的安全设置的任何仪表板。将您的 Web 服务器配置为发送带有每个响应的限制的 CORS 标头。只允许仪表板域和协议，例如：Access-Control-Allow-Origin: https://example.com/。您不应该允许通配符来源。